高速バス予約の「発車オーライネット」に不正アクセス 最大8,341件の予約情報が流出のおそれ、名前と電話番号など

高速バスや定期観光バスの予約サイト「発車オーライネット」を運営する工房は2026年10月15日、外部の取引先とつなぐためのサーバーに第三者が不正にアクセスし、利用者の予約情報の一部が外に出たと発表した。最大で8,341件、5,614人分にのぼる可能性がある。

何があったのか

工房によると、発車オーライネットなどの予約サービスをバス会社に提供するために使っている「連携用APIサーバー」に、9月16日から19日にかけて不審なアクセスがあった。工房がこれに気づいたのは10月13日だった。APIサーバーは、別の会社のシステムと予約のデータをやりとりするための窓口のような役割を持つ。

工房はすぐにこのサーバーの通信を止めたが、それまでの間に、予約情報の一部が外に漏れた跡が見つかったという。今は対策を終え、不正なアクセスが続いていないことを確かめたとしている。

流出したおそれのある情報

対象は、バスに乗る日が2026年7月16日から11月29日までの、一部の予約だ。

• カタカナの予約名(氏名)
• 電話番号
• 予約したバスの情報(乗る日、路線、予約番号など)

クレジットカードの情報、銀行口座の情報、住所、メールアドレス、パスワードは、このサーバーには保存されていなかった。

件数は最大で8,341件(5,614人分)で、まだ最終の確認中だ。このうち、発車オーライネットのサイトで予約したものは548件(448人分)。残りは、工房がバス会社などに提供している予約サービスに関わるものだという。

かんたんに言うと

発車オーライネットは、いろいろなバス会社の高速バスを予約できる窓口だ。バス会社のシステムと予約の情報をやりとりする「裏口の連絡通路」に不審者が入り、通路を通っていた予約の名簿の一部を見られた、というイメージだ。お金に関わる情報や住所は、この通路には置かれていなかった。

気をつけたいこと

工房によると、今のところ、この件による実際の被害の報告はない。ただ、流出した電話番号に、怪しいSMS(フィッシング詐欺)や知らない番号からの電話が来るおそれがある。

• 工房やバス会社が、SMSなどで暗証番号やクレジットカードの情報を聞くことはない
• 怪しいメッセージに書かれたURLは開かない

日本ではどうなるのか

工房は、個人情報保護委員会に報告し、警察に被害届を出した。連携しているバス会社や旅行サイトの運営会社にも知らせている。発車オーライネットで予約した対象の人には、順にメールで連絡する。問い合わせは、サイトのお問い合わせフォーム(9時〜18時)のほか、10月19日(月)から開く電話窓口(0120-539-020、9時〜18時)で受け付ける。

まとめ

高速バスの予約サイト「発車オーライネット」の連携用のサーバーに不正なアクセスがあり、7月から11月に乗る一部の予約のカタカナの名前や電話番号などが、最大8,341件流出したおそれがある。カード情報や住所は含まれない。電話番号に届く怪しいSMSや電話に気をつけたい。