西武鉄道株式会社は9月2日、同社委託先がシステムを管理する同社運行の「西武 旅するレストラン 『52 席の至福』」の予約サイトでの予約関連情報の一部漏えいについて発表した。
これは2025年1月9日から2026年8月27日までの期間、同予約サイトにて個人情報を含む予約に関連する情報をエンコードした情報が外部から閲覧できる状態にあったというもの。
同社では2025年1月9日から、同予約サイトの管理画面上にスタッフ間で情報共有する機能（予約完了後に顧客等からの連絡内容等を共有する機能）を新たに実装したが、当該実装時の誤設定で、当該情報共有機能に入力された内容（個人情報を含む）をエンコードした情報が外部から閲覧できる状態となっていたことが、2026年8月27日に同社お客さまセンターへの問い合わせで発覚したという。
なお、当該情報が閲覧可能となっていたURLは一般には公表していないが、インターネットブラウザの「開発者ツール」等を利用して当該URLを取得し、さらにそのURLに表示されたエンコードされた情報を日本語の表示に戻す操作を行った場合、上記情報共有機能に入力された内容を解読することが可能であった。
漏えいしたのは、予約完了後の顧客等からの連絡内容に含まれる約500名分の氏名、住所、電話番号、メールアドレス、「SEIBU PRINCE CLUB」お客さま番号、利用日当日における対応・配慮の要請内容（アレルギー、車いすの利用その他身体的配慮が必要な事項を含む）。うち、アレルギー、車いすの利用その他身体的配慮が必要な事項に関する情報の漏えいは全体のうち約30名で、要配慮個人情報が含まれる可能性がある。
同社では対象の顧客に対し、西武鉄道株式会社 本社営業所から本件についての説明と謝罪を個別に連絡する。
同社では、委託先管理を含む情報管理及びチェック体制の強化、作業手順の見直し等、再発防止に努めるとのこと。
