NordVPNは10月21日、旅行向けeSIMアプリ「Saily」と共同で、旅行業界のデータ侵害に関する調査結果を発表した。脅威エクスポージャー管理プラットフォーム「NordLayer Intelligence」で確認された2021年1月1日から2026年8月18日までの494件を分析したところ、旅行者の情報が計1億1940万件流出していた。件数は侵害ごとに流出した固有のメールアドレス数を基準に算出した。

　流出情報を含む侵害の割合は、氏名が92％、電話番号が87％、住所が78％、生年月日が55％だった。パスワードは46％、国籍は19％、政府発行の身分証明書情報は11％に含まれていた。

　侵害の発生件数が最も多かったのは、予約プラットフォームやオンライン旅行会社（OTA）、ツアー・アクティビティ事業者などの予約・ツアー関連で、全体の55.5％を占めた。これに対し、航空会社の侵害は21件と少なかったものの、1件当たりの流出情報は平均約120万件に上った。予約・ツアー関連の平均約10万7000件の11倍以上となる。

　流出情報全体に占める業態別の割合は、レンタカー・クルーズ・鉄道が27.7％、予約・ツアー関連が24.6％、ホテル・リゾートが23.7％、航空会社が21.2％だった。

　調査は、航空会社、ホテル・リゾート、OTA、ツアー・アクティビティ事業者、ロイヤルティプログラム、レンタカー・クルーズ・鉄道会社に関する事案を対象とした。対象組織の名称やドメインなどをもとに分類し、大規模な事案は個別に確認して誤検出を除外した。調査結果は同プラットフォームで確認できたデータに基づくもので、旅行業界全体の流出件数を網羅するものではない。

　NordVPNのCTO、マリユス・ブリエディス氏は、旅行者の情報を扱う企業が増えるほど流出リスクにさらされる場所も増えると指摘。企業の規模だけではリスクを判断できず、小規模事業者では侵害の発生頻度、大手航空会社では1回当たりの流出規模に注意が必要だとした。

　同社とSailyは旅行者向けの対策として、不要なアカウントを作らないこと、サービスごとに異なるパスワードを設定して多要素認証を利用すること、保存済みの支払い情報や本人確認情報を見直すこと、旅行後に不要なアカウントや関連データの削除を依頼することを挙げている。