発車オーライネットの情報流出（2026年10月公表）｜何が起きて、自社で何を確かめるか

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

何が起きたか（公表された事実）

同社の2026年10月15日のお知らせを要約します。正式な題名は、末尾の参考にした資料にあります。

不審なアクセスは9月16日から19日にあり、10月13日に検知したと発表しています。検知後、すぐに該当サーバーの通信を遮断しました。

届出と報告は、個人情報保護委員会への報告、警察署への被害届、連携する各バス事業会社と旅行サイト運営会社への報告です。

入口と、広がった理由

公表された範囲では、侵入の場所は「外部取引先連携用APIサーバー」です。どの手口で入られたかは書かれていません。

この件で目を引くのは、同じ日に利用するバス会社も自社のお知らせを出したことです。たとえば防長交通は、自社分を最大12件（最終確認中）と公表しています。

自社でシステムを持っていなくても、預けた先の事故で、自社のお客さまへの説明が必要になります。広がり方はサプライチェーンリスクで詳しく扱っています。

一般論として、JPCERT/CCは10月8日の注意喚起で、管理用APIの悪用を挙げています。盗まれたAPIキーを使う例も含みます。この件の入口とは限りません。

自社で確かめる3つ

取引先や外部のサービスとデータをつないでいる会社は、次の3つを確かめます。

1. 連携の口を一覧にする：API、自動のファイル受け渡し、共有フォルダなど、外とつながる口を書き出します。鍵（APIキー）を誰が持ち、いつ作ったかも書きます。

辞めた人や前の委託先が作った鍵が残っていれば、止めます。棚卸しの進め方はアカウントの棚卸しと同じです。

2. 委託先の事故を受ける流れを決める：予約や会員管理を任せている先から連絡が来たとき、誰が受けて誰に回すかを決めます。契約に報告の期限があるかも見ます。

確かめ方は委託先のセキュリティを確かめる方法、報告の要否は漏えいしたときの報告と通知にあります。

3. お客さまへの注意文を用意する：電話番号が漏れると、不審なSMSや電話が届くおそれがあります。同社も、SMSで暗証番号やカード情報を尋ねることはないと呼びかけています。

注意文の例はお詫び文の例文集にあります。自社分の件数が分かる前に、ひな形だけ用意しておくと慌てずに済みます。

取引先のチェックシートでは、ここに効く

取引先から届くチェックシートでも、委託先と事故対応の設問はほぼ必ず聞かれます。

連携の口の一覧は、委託先の設問の添付資料にもなります。作った日付を入れておきます。

担当者のあなたにとって

委託先の事故は、自社のせいではなくても説明を求められます。確かめた範囲を先に伝えておけば、一人で判断を背負わずに済みます。

件名：発車オーライネットの件を受けた自社の確認

〇〇さん
10月15日公表の件（連携用APIサーバーへの不正アクセス、
最大8,341件・最終確認中）を受けて、3点を確かめました。

1. 外部とつながる連携の口（API・ファイル連携など）
　→ 〇件。期限のない鍵：〇件（〇月〇日までに見直し）
2. 委託先から事故の連絡が来たときの受け手
　→ 窓口：〇〇　契約上の報告期限：〇〇
3. お客さまへの注意文のひな形
　→ 用意済み／〇月〇日までに用意

判断をお願いしたいこと：1の鍵を止めてよいか
出典：株式会社工房のお知らせ（2026年10月15日）

原因の手口は公表されていないので、報告文でも推測は書きません。続報が出たら、同じ形で追記します。

よくある質問

この記事のまとめ

• 2026年10月15日、株式会社工房が発車オーライネットの予約情報の流出を公表しました。場所は連携用APIサーバーです。
• 利用するバス会社も自社分を公表しました。委託先の事故は、預けた会社の説明にもつながります。
• 自社では、連携の口、委託先からの連絡の流れ、お客さまへの注意文の3つを確かめます。

参考にした資料

1. 株式会社工房「【お詫びとご報告】『発車オーライネット』連携用APIサーバーへの不正アクセスによる個人情報流出について」（2026年10月15日）
2. 防長交通株式会社「バスチケット予約ポータルサイト『発車オーライネット』で発生したサーバーへの不正アクセスによる個人情報の流出について」（2026年10月15日）
3. JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開、10月9日更新）