ハウステンボスのサイバー攻撃と情報漏洩｜約154万人の内訳と侵入経路、対象者の確認先

長崎県佐世保市のテーマパーク「ハウステンボス」で、2025年8月29日に社内サーバーのファイルが暗号化されているのが見つかりました。同年12月12日の調査結果は、リモートアクセス機器を経由した第三者の侵入と、お客様・役職員・取引先あわせて約154万6000人分の個人情報が漏えいした可能性を公表しています。この記事では公式発表に書かれていることと書かれていないことを分け、自分が対象か確かめる方法と、同じ経路を塞ぎたい企業の点検手順をまとめます。

まとめ：ハウステンボスの情報漏洩で公表された事実と対象者の確認先

確定しているのは、8月29日にファイルの暗号化を確認してシステムを止めたことと、侵入口がリモートアクセス機器だったことです。漏えいは約154万6000人分について「可能性」として公表され、対象の情報には役職員と取引先のマイナンバー、役職員の健康診断結果と障がいに関する情報も含まれます。

公式発表に無いのは、機器の製品名、悪用された脆弱性、攻撃者の名前、身代金要求の有無です。「ランサムウェア」という語も使われていません。2026年11月10日時点で、公式の公表ページに12月12日より後の日付の発表は掲載されていません。

対象者がまず行うのは、ハウステンボスを名乗る心当たりのない電話・メールに応じないことと、個別案内が届いていなくても気になるなら窓口に確かめることです。企業の担当者は、インターネットに開いたリモートアクセス機器を洗い出すところから始めてください。

ハウステンボスへの不正アクセスの経緯｜検知から調査結果の公表まで105日

3回の公表で変わった内容：8月29日の第1報から12月12日の調査結果まで

事案のお知らせは、「不正アクセス事案に関する調査結果のご報告とお詫び」の1ページに3回分まとめて掲載されています。

第1報は、不正アクセスの確認と「詳細については現在調査を進めております」と伝える短い内容でした。第2報で、アプリのアトラクション待ち時間表示と一部レストラン店舗でのレシート受け取りが使えないと案内され、個人情報保護委員会と警察に報告したうえで外部専門機関と調査していると説明されています。個人情報の漏えいが公表されたのは、検知から105日後の調査結果が最初でした。

8月29日の初動：サーバー停止・ネットワーク遮断・当局への同日報告

調査結果によると、8月29日に業務管理システム等のサーバー内でファイルの一部が暗号化されているのを確認し、当該サーバーと関連システムの停止、ネットワークの遮断を行いました。同日中に個人情報保護委員会と警察へ報告し、外部の専門家による調査と復旧を始めています。

同日に停止と報告まで進めた点は公表文から読み取れます。ただし警察庁の令和8年上半期の報告は、データを窃取した後に暗号化を実行する流れを代表的な手口として示しており、同社も漏えいの可能性を公表しました。初動の速さが持ち出しを防いだと言える材料はありません。

待ち時間表示と発注システムの障害、10月1日までの復旧と警察庁統計との比較

調査結果が影響として挙げるのは、公式アプリのアトラクション待ち時間表示の休止と、一部発注システムの利用制限などです。どちらも2025年10月1日までに復旧したとされます。検知日から同日までは33日ですが、実際の復旧完了日は公表されていません。第2報にあったレシートの受け取りは、復旧時期が書かれていません。

警察庁の同じ報告（統計編144頁）で、ランサムウェア被害の復旧期間を回答した48件は次の分布でした。

1か月未満で戻せた組織は48件中23件です。同社の実際の復旧所要期間は公表されていないため、この区分に当てはめることはできません。公式発表の「10月1日までに復旧」は挙げられたサービス等についての記述で、社内システム全体の復旧完了日を示すものではありません。調査・復旧の費用も未公表です。同じ報告では、回答35件のうち21件が総額1,000万円以上でした。

漏えいした可能性がある約154万6000人分の個人情報の内訳

お客様・役職員と家族・取引先の3区分と人数

漏えいの可能性があるとされた情報は次の3区分です。各区分の項目は「など」で終わっており、列挙されたものに限るとは書かれていません。

退職者と家族が区分に含まれている点は見落としやすいところです。在職中でなくても、家族として会社に情報を届けた人でも、対象になりえます。

クレジットカード情報は保有なし、銀行口座は発表に記載なし

公式発表が明記するのは「クレジットカード情報については、弊社では保有しておりませんので漏えいはございません」という1点です。銀行口座については、含まれるとも含まれないとも書かれていません。給与の振込先や取引先の支払口座を同社が扱っていたとしても、この発表からは漏えいの有無を判断できません。

健康診断結果と障がいの情報が要配慮個人情報に当たる根拠

個人情報保護法施行令2条は、心身の機能の障害があること（1号）と、医師等による健康診断その他の検査の結果（2号）を要配慮個人情報と定めています。役職員の区分に挙がった2項目は、この定義に沿う内容です。番号は変更の手続きがありますが、健診結果や障がいの有無は後から取り消せません。

ランサムウェアか、侵入経路は何か｜公式発表の範囲と未公表の点

公式発表の「暗号化」表記とランサムウェアへの言及の有無

検索では「ハウステンボス ランサムウェア」という言葉がよく使われますが、3回の発表のどこにもこの語はありません。書かれているのは「第三者が複数のサーバーおよび一部のパソコン端末内のデータを暗号化していた」という事実です。身代金の要求、攻撃者の名前、犯行声明にも触れていません。

暗号化と個人情報の外部流出の可能性がそろう構図は、警察庁が被害の多くを占めるとする二重恐喝の形に似ています。似ているという以上は言えません。本記事が「ランサムウェア攻撃」と断定しないのはこのためです。

「リモートアクセス機器」という記載と、未公表の製品名・脆弱性

調査結果の記載は「弊社が利用しているリモートアクセス機器を経由して第三者が不正にネットワークへ侵入した」です。VPN装置かリモートデスクトップかという機器の種類、製品名、悪用された脆弱性、使われた認証情報の出どころは書かれていません。特定の製品名を挙げてこの事案の原因と説明している情報を見かけても、公式発表には根拠がありません。

警察庁統計の侵入経路：VPN機器は令和7年の約66%から令和8年上半期は50%

リモートアクセス機器が狙われやすいこと自体は、数字で裏付けられています。警察庁の統計（統計編143頁）では、ランサムウェア被害の侵入経路は次のとおりでした。

令和8年上半期のランサムウェア被害報告は123件で、半期として統計開始以来最多でした。VPN機器の比率は下がりましたが、回答36件の半期の数字で傾向を読むのは早すぎます。VPN機器とリモートデスクトップを合わせれば、令和8年上半期でも36件中27件です。これはハウステンボスの原因を示すものではなく、同種の機器を持つ企業が自社を点検する根拠として読んでください。

対象かもしれない人が確かめること｜個別案内・偽連絡・マイナンバー

個別案内が届かない場合の確かめ方と相談窓口0120-602-064

対象者への案内は順次個別に行われ、連絡先不明などで個別の通知が難しい場合は公表をもって案内に代えると調査結果は述べています。案内が来ていないことは対象外の証明になりません。引っ越しやメールアドレスの変更で届いていない可能性があります。

確かめたい場合は、公表された個人情報相談窓口（0120-602-064、9時〜17時）に問い合わせます。番号と受付時間は2025年12月の発表の記載なので、電話の前に公式ページで掲載が続いているか確認してください。

ハウステンボスを名乗る電話・メール・SMSへの対応

公式発表は「心当たりのない電話やメール等」への注意を呼びかけ、不審な連絡は窓口に伝えるよう案内しています。公式発表に偽メールやSMSが届いたという記載はありませんが、SMSが届いた場合も電話やメールと同じ扱いにしてください。リンクは開かず、折り返す場合は連絡に書かれた番号ではなく公式ページの番号を使います。同社はカード情報を保有していないと公表しているため、ハウステンボスを名乗ってカード番号を尋ねる連絡には応じる理由がありません。

役職員と取引先のマイナンバー：番号変更を請求できる条件

番号法16条は、番号の提供を受ける事業者などに本人確認を義務付けています。本人確認の義務とは別に、番号の変更は同法7条2項により、個人番号が「漏えいして不正に用いられるおそれがあると認められるとき」に本人が市区町村長へ請求できます。

請求には根拠資料が要ります。世田谷区の案内では、漏えいし不正に用いられるおそれがわかる資料の持参を求めています。ハウステンボスからの個別案内は手元に保管し、持参して住民票のある市区町村の窓口で相談するのが最初の一手です。「可能性」の段階で変更が認められるかは自治体の判断です。

同じ経路を塞ぐ企業の点検手順｜公開入口・認証・バックアップの順

ハウステンボスが公表した再発防止策6項目と、書かれていない具体策

調査結果に書かれた再発防止策は、次の6項目の見出しだけです。

• 通信経路および用途別通信の再設計と厳格化
• 各種アカウントのセキュリティポリシーおよび認証方式の見直し
• デバイス管理ポリシーの強化
• セキュリティ監視体制の再構築
• バックアップ体制および事業継続計画（BCP）の再整備
• 従業員への情報セキュリティ教育の強化

製品も手順も公表されていません。以下の手順は、この項目を自社に当てはめるときの一般的な例で、同社が実施した内容ではない点に注意してください。優先順位を付けるなら入口の把握が先です。警察庁の統計でVPN機器とリモートデスクトップが36件中27件を占めるためで、監視や従業員教育は並行して進めます。

リモートアクセス機器の公開状況を外から確かめるスクリプト

最初に確かめるのは、自社のどのホストがインターネットにリモートアクセス用の画面を出しているかです。次のスクリプトは、社外の検査端末から、自社管理ホストのTCP 443・4433・8443・10443番へのHTTPS応答とTLS証明書の期限を確認する補助例です。RDP、UDP方式のVPN、その他のポートは対象外で、応答がなくてもリモートアクセス経路がないとは判断できません。通信は接続とTLSの確認だけで、設定は変えません。他社のホストには使わないでください。

#!/usr/bin/env bash
# 自社が管理する公開ホストのTCP 443・4433・8443・10443番について、HTTPS応答とTLS証明書の期限を確かめる
# （読み取りのみ。社外の端末から実行し、他社のホストには使わない）
# 使い方：bash check-remote-access.sh vpn.example.co.jp 203.0.113.10
ports="443 4433 8443 10443"
for host in "$@"; do
  for port in $ports; do
    out=$(curl -skv -o /dev/null -w 'HTTP_CODE=%{http_code}\n' --connect-timeout 5 --max-time 10 "https://$host:$port/" 2>&1)
    code=$(printf '%s\n' "$out" | sed -n 's/^HTTP_CODE=//p')
    if [ "$code" = "000" ]; then
      echo "$host:$port HTTPS応答を取得できず（非公開とは判定できない）"
      continue
    fi
    end=$(printf '%s\n' "$out" | sed -n 's/.*expire date: //p')
    echo "$host:$port HTTP $code 証明書の期限=${end:-取得できず}"
  done
done

2026年11月10日にexample.comで試すと、443番が「HTTP 200」と証明書の期限を返し、4433・8443・10443番は「HTTPS応答を取得できず」になりました。期限切れの証明書を返す公開テスト用ホストでも、止まらずに過去の失効日を表示します。自社のホストで応答があったポートは台帳と照らし合わせます。台帳にない応答を見つけた場合は、管理者と業務用途を確認し、不要な公開は停止してください。侵害が疑われる場合は、証拠保全と影響範囲を踏まえて隔離します。製品ごとの版確認とCISAの悪用確認済み脆弱性カタログとの照合は、VPN機器の版確認コマンドとKEV照合スクリプトで手順を示しています。

認証方式と接続範囲の見直し：侵入後に広がらない構成

パスワードだけで入れる状態をやめ、多要素認証と接続元の制限を組み合わせます。警察庁も、漏えいした認証情報の悪用を侵入の手口として挙げています。退職者や委託先の共用アカウントが残っていないかは、機器の側で確認してください。ハウステンボスの事案では複数のサーバーとパソコンに被害が及んでいます。VPNで社内網全体に入れる構成から、アプリ単位で許可する方式へ移る判断はゼロトラストネットワーク（ZTNA）とVPNの違いで整理しています。

バックアップの保管条件：社内の管理者権限からの分離

社内ネットワークから書き換えられる場所だけに置いたバックアップは、暗号化の対象になります。警察庁の報告も、攻撃者が内部探索でバックアップを物色すると記しています。少なくとも1世代は、社内の管理者権限でも消せない場所に置いてください。ハウステンボスがどう復旧したかは公表されていません。方式の選び方はシステムバックアップの方式と取得手順を参照してください。

点検を先に済ませるべき企業と、優先度が下がる企業の分かれ目

社外からVPNやリモートデスクトップで社内に入る経路を持ち、マイナンバーや健康情報を同じネットワークで扱っている企業は、今週中に公開状況の確認と認証の強化に手を付けるべきです。逆に、社外からの入口を持たずクラウドサービスだけで業務が完結している組織では、機器の点検は後回しでかまいません。点検する機器が無いため、先に見るのはクラウドのアカウント管理です。外からの入口と、破られた後に何が読めるかを第三者に確かめてもらうなら、脆弱性診断・セキュリティ診断でリモートアクセス機器から社内サーバーまでの経路を点検できます。

個人データの漏えい等で事業者が負う報告と本人通知

個人情報保護法施行規則7条は、要配慮個人情報を含む場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合などを報告対象としており、「おそれ」の段階でも該当します。確報の期限は8条2項により、報告対象の事態を知った日から30日以内、不正の目的をもって行われたおそれがある行為による事態は60日以内です。個人情報保護委員会の案内によると、マイナンバーが含まれる場合は報告フォームが分かれます。特定個人情報のガイドライン（事業者編）は、不正の目的によるおそれがある漏えいや、本人が100人を超える事態を報告対象としています（個人データの1,000人とは基準が異なります）。

調査結果の公表日と委員会への確報の提出日は別物で、ハウステンボスが確報をいつ出したかは公表されていません。速報の段取りや通知項目は個人情報保護委員会への報告義務で詳しく解説しています。

よくある質問

ハウステンボスに行ったことがあれば、自分の情報も漏えいの対象ですか？

来場歴だけでは対象かどうかを判断できません。公表されたのは同社が保有する個人情報の一部で、お客様の情報は約149万9300人分で、氏名・生年月日・性別・住所・電話番号・メールアドレスなどが含まれます。どの顧客が含まれたかの基準は公表されていません。確かめたい場合は相談窓口（0120-602-064）に問い合わせてください。

ハウステンボスの件はランサムウェア攻撃だったのですか？

公式発表はサーバーとパソコンのデータが「暗号化」されたと書いており、ランサムウェアという語は使っていません。身代金要求の有無や攻撃者の名前も未公表です。公表内容だけではランサムウェア攻撃と断定できません。2026年11月10日時点で、犯行声明やリークサイトへの掲載を示す一次情報も確認できていません。報道や解説で断定されている場合は、根拠の出どころを確かめてください。

クレジットカードの停止や再発行は必要ですか？

同社はクレジットカード情報を保有しておらず漏えいはないと公表しており、この事案を理由にカードの停止や再発行を急ぐ根拠はありません。ただし、ハウステンボスやカード会社を名乗ってカード番号を聞き出そうとする連絡には応じないでください。利用明細に不審な請求があれば、この件とは切り分けてカード会社に確認します。

ハウステンボスの公式アプリは終了したのですか？

事案の発表にアプリの終了に関する記載はありません。影響として挙げられているのは、公式アプリのアトラクション待ち時間表示の休止で、2025年10月1日までに復旧したとされています。発表の対象は待ち時間の表示機能で、アプリ全体の停止とは書かれていません。アプリの提供状況そのものは、App Storeなどのストアの掲載や公式サイトのお知らせで確認してください。

その後、被害や続報は公表されていますか？

2025年12月12日の調査結果は「現時点において被害の発生は確認されておりません」としていますが、これは当時の記述です。2026年11月10日時点で、公式の公表ページに12月12日より後の日付の発表は掲載されていません。攻撃者の名前、身代金要求の有無、個人情報保護委員会による指導の有無についても、公式の発表は確認できていません。

関連記事

• VPN 脆弱性：機器の版確認コマンドとKEV照合スクリプト・パッチと移行の判断【2026年10月】
• アスクルのランサムウェア攻撃｜感染理由と侵入経路、流出74万件・漏えいのおそれ60万件と行政指導【2026年10月】
• ジャパンタイムズのランサムウェア被害と第3報：給与口座・マイナンバー漏えいのおそれとグループ会社サーバーを分けた設計
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• ゼロトラストネットワーク（ZTNA）とは？VPNとの違いと製品選定・導入判断を解説