株式会社リクリエ（チェックインシステム「Tabiq」）

Tabiqで利用者の本人確認書類画像などを保存していたAmazon S3の設定に不備があり、外部の第三者がアクセスできる状態だったと公表しました。5月13日に判明し、14日に外部からのアクセスを遮断しています。

対象は2020年1月20日から2026年5月14日までに取得した106万338人分の顔写真、署名画像、パスポートや運転免許証などの本人確認書類の画像です。予約情報やクレジットカード情報は含まれていません。第三者機関のフォレンジック調査では、不正取得や悪用などの二次被害は確認されていないとしています。5月18日に個人情報保護委員会へ速報、6月12日に確報を出しました。

再発防止として、IAMユーザーや権限設定の棚卸し、バケットポリシーの見直し、アクセスログの取得と脅威検知サービスによる監視、脆弱性診断などを進めています。対象者への個別通知も準備中としています。