ハウステンボスのランサムウェア被害(2025年8月公表)
結論から
- 2025-08-29、業務管理システムなどのサーバでファイルが暗号化されているのを確認し、同日公表しました。
- 2025-12-12の調査結果によると、入口は会社が使っていたリモートアクセス機器でした。
- 顧客約149万9,300人分、役職員と家族約3万7,300人分(マイナンバーを含む)、取引先約9,400人分が漏えいした可能性があります。
概要
- 公表日
- 2025年8月29日
- 発生
- 2025年8月NaN日
- 検知・発覚
- 2025年8月29日
- 最新の公表
- 2025年12月12日
- 組織・業種
- ハウステンボス(テーマパーク / ホテル・レジャー・外食)
- 漏えいした情報・件数
- 漏えいの可能性: 顧客約149万9,300人分(氏名、生年月日、性別、住所、電話番号、メールアドレス)、役職員(退職者を含む)と家族約3万7,300人分(マイナンバー、健康診断結果などを含む)、取引先約9,400人分。クレジットカード情報は保有しておらず対象外
- 業務への影響
- 公式アプリのアトラクション待ち時間の表示と一部の発注システムに障害。2025-10-01までに復旧
- 業績への影響
- 未公表
- 行政の対応
- 個人情報保護委員会と警察に報告
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
会社は2025-08-29、システムの一部が侵害され、業務管理システムなどのサーバ内のファイルが暗号化されていることを確認しました。外部の専門家による調査の結果、第三者は会社が使っていたリモートアクセス機器(社外から社内ネットワークに接続するための機器)を経由して、ネットワークに侵入したことが分かりました。
侵入後、業務管理システムなどの複数のサーバとPCが暗号化されました。リモートアクセス機器の種類、脆弱性を突かれたのか認証情報を使われたのか、侵入した日時は公表されていません。
犯行グループや、身代金の要求の有無についての会社の説明は、2026-10-06時点で確認できていません。警察庁の統計では、2025年のランサムウェア被害の侵入経路はVPN機器が6割以上で、リモートアクセス機器が入口になる例は多く見られます。
影響
漏えいした可能性があるのは、顧客約149万9,300人分(氏名、生年月日、性別、住所、電話番号、メールアドレス)です。テーマパークやホテルの利用者が含まれます。
役職員(退職者を含む)とその家族約3万7,300人分も対象です。氏名・住所・電話番号に加え、マイナンバー、健康診断の結果、障がいに関する情報など、扱いに特に注意が要る情報が含まれていました。取引先の約9,400人分(氏名、社名、住所、電話番号、メールアドレス、マイナンバー)も対象です。会社は対象となる顧客や関係者に順次案内しています。クレジットカード情報は保有していないため、漏えいはありません。二次被害は確認されていないとしています。
業務では、公式アプリのアトラクション待ち時間の表示や、一部の発注システムに障害が出ました。テーマパークの営業そのものは続け、影響を受けた業務は2025-10-01までに復旧しました。業績への影響額は公表されていません。
会社の対応と再発防止策
ハウステンボスは暗号化を確認した日に該当サーバを停止し、ネットワークを遮断しました。同日に第一報を出し、8月31日に調査の進捗を公表しています。外部の専門家と調査を進め、約3カ月半後の2025-12-12に調査結果を公表しました。個人情報保護委員会と警察にも報告しています。
再発防止策として6つを挙げています。社外とつながる通信経路の再設計、セキュリティの規程と認証方法の見直し、端末(デバイス)の管理の強化、セキュリティ監視体制の再構築、バックアップと事業継続計画(BCP)の再整備、従業員のセキュリティ教育の強化です。入口になったリモートアクセス機器をどう扱うか(廃止・置き換えなど)は、公表資料では確認できません。
対象者向けには専用の相談窓口を設けました。顧客には、心当たりのない電話やメールなど不審な連絡に注意するよう呼びかけています。身代金の要求や攻撃者との接触については、公表資料に記載がありません。2026-10-06時点で、再発防止策の進み具合についての続報は確認できていません。
この事案から学べること
- 社外から入るためのリモートアクセス機器は、攻撃者にとっても入口です。更新と認証の強さを常に確かめる必要があります。
- 顧客情報だけでなく、従業員のマイナンバーや健康情報も同じネットワークにあれば一緒に狙われます。
- 営業を止めずに済んでも、漏えいの調査と通知には数カ月かかります(この事案では約3カ月半)。
自社で確認すること
- 1 社外から社内ネットワークに入れる機器(VPN装置など)の一覧と、ファームウェアの更新状況を把握していますか。
- 2 その機器のログインに多要素認証をかけていますか。使っていないアカウントは残っていませんか。
- 3 マイナンバーや健康情報を、業務システムと分けて保管していますか。
同じ手口の事案
関連する事案
出典
- ハウステンボス、大規模漏えいの可能性 顧客150万人の個人情報、役職員・取引先のマイナンバー情報など ↗ (ITmedia NEWS、2025-12-12)
- ハウステンボスへのサイバー攻撃 - 個人情報流出の可能性 ↗ (Security NEXT、2025-12-15)
- Report on Investigation Results and Apology Regarding the Unauthorized Access Incident(調査結果の報告) ↗ (ハウステンボス株式会社、2025-12-12)
- 令和7年におけるサイバー空間をめぐる脅威の情勢等について ↗ (警察庁)