商船三井クルーズは、営業情報を保存した外部記憶媒体を紛失し、顧客や乗組員の個人情報が含まれていた可能性があるとして調査しています。媒体は「にっぽん丸」から「MITSUI OCEAN SAKURA」へのデータ移行に使われました。会社は約20万ファイルのバックアップを調べ、記録内容の特定を進めています。
記憶媒体は船内のデータ移行に使用
「にっぽん丸」は2026年5月に運航を終了しました。これに伴い、船内のコンピューターに保存されていた情報を外部記憶媒体へ移し、就航準備中の「MITSUI OCEAN SAKURA」の船内コンピューターへ移行する作業が行われました。
その後、「MITSUI OCEAN SAKURA」の乗組員関係者専用区域で保管場所を確認した際、一部の媒体が見つからず、紛失が判明しました。船内を捜索しましたが、会社の公表時点で媒体は回収されていません。
会社は警察への届け出と、個人情報保護委員会への報告を行いました。また、個人情報が第三者に不正に閲覧、開示、悪用された証拠は現時点でないとしています。
顧客と乗組員の情報が対象となる可能性
記憶媒体に保存されていた情報の特定は続いています。顧客や乗組員について、氏名、生年月日、性別、住所、電話番号、メールアドレス、旅券番号が含まれていた可能性があります。
医療情報やアレルギー情報も対象となる可能性があります。乗組員については、これらに加えて金融機関の口座情報、考課記録、予防接種履歴、給与関連情報が含まれる可能性があると公表されています。
会社は、対象となった人や情報の範囲を調べています。
約20万ファイルを調べ、媒体も捜索
会社は、社内サーバーにあるバックアップデータ約20万ファイルを調査しています。この調査を通じて、紛失した媒体に保存されていた可能性のある情報を特定する方針です。
今後も媒体の捜索と、記録内容の確認を続けます。必要に応じて外部の専門家の協力を得るとしており、調査で公表すべき事実が判明した場合は、速やかに追加情報を知らせる方針です。
会社は今回の事案を受け、データの取り扱いと保管の方法も必要に応じて見直すとしています。
外部記憶媒体の持ち出し管理
情報処理推進機構（IPA）は、組織が業務用の機器やデータを外部へ持ち出す際のルールを明確にし、関係者に周知して運用状況を確認するよう勧めています。紛失に備え、持ち出す機器やUSBメモリーなどの外部記憶媒体には適切な暗号化を施すことも対策例に挙げています。
重要なデータのバックアップには、運用データ1つとバックアップ2つを持ち、異なる2種類の媒体を使い、そのうち1つを別の場所に保管する「3-2-1ルール」があります。商船三井クルーズは、今回の調査と並行してデータの取り扱い・保管方法を見直す方針です。
