【インシデント速報】2026年10月11日｜skyticket1,464万件・手間いらず445万人・バイトル388万件
公開
①旅行予約「skyticket」(アドベンチャー)が3つの経路の不正アクセスで最大約1,464万件(うち約413万件はハッシュ化パスワードを含む)の流出のおそれを公表。②宿泊予約管理「TEMAIRAZU」(手間いらず)は最大約445万人分、③求人「バイトル」(ディップ)は会員のメールアドレス最大約388万件が対象。いずれも自社サービスや委託先システムが侵入口で、今週は預けている顧客情報の棚卸しと従業員へのフィッシング注意喚起が確認事項になる。
旅行予約サイト「skyticket」に3系統の不正アクセス、最大約1,464万件の個人情報が流出のおそれ
格安航空券予約サイト「skyticket」を運営するアドベンチャーは2026年10月9日、同サイトなどが異なる3つの経路で不正アクセスを受け、最大約1,464万件の個人情報が外部に流出した可能性があると公表しました。最も規模が大きい事案では、氏名・生年月日・メールアドレス・電話番号・住所などに加え、約413万件についてはハッシュ化されたログインパスワードも対象に含まれます。
公表によると経路は3件です。(1)10月2〜4日にskyticketの管理機能の一部が悪用され、他サーバーやクラウド上のデータにアクセスされた(10月5日発覚)。(2)9月20日に業務管理システムの脆弱性が悪用され、約1万7,780件が流出のおそれ(9月28日発覚)。(3)8月3日〜10月1日にバス予約の確認ページがログインなしで閲覧できる状態にあり、約1万2,000件が閲覧可能だった(10月1日発覚・同日修正)。クレジットカード番号とパスポート画像は保有しておらず対象外、パスポート番号の流出は確認されていない(調査中)としています。
中小企業への影響
一つの会社が同時期に3つの異なる経路を突かれており、入口を一つ塞いでも別の穴が残るという現実を示す事例です。とくにログインなしで閲覧できた確認ページ(経路3)は、予約や問い合わせの確認画面をURLだけで開ける作りにしている中小のWebサービスでも起きやすい弱点です。ハッシュ化とはいえパスワードが対象に含まれたため、skyticketと同じパスワードを他サービスで使い回している利用者は連鎖的に狙われます。
推奨対応
- 予約確認・申込完了などの画面が、ログインや本人確認なしにURLだけで開ける作りになっていないか点検する
- 自社サービスの管理機能(管理画面・API)が外部から到達できる状態になっていないか、委託先に確認する
- 従業員に、skyticketと同じパスワードを業務アカウントで使い回していないか確認させ、使い回しがあれば変更させる
宿泊予約管理「TEMAIRAZU」への不正アクセス、最大約445万人分が閲覧・取得されたおそれ(適時開示)
宿泊施設向けの予約管理システム「TEMAIRAZU(手間いらず)」を提供する手間いらずは2026年10月9日、同システムが第三者の不正アクセスを受け、宿泊者の情報が閲覧・取得された可能性があると適時開示しました。対象となる可能性があるのは最大で約445万人分です。ただし同社は、445万人分の漏えいが確定したわけではなく、実際に取得された人数は調査中としています。
本件は9月下旬から継続している事案です。9月21日深夜ごろから一部宿泊施設の予約者に不審なメッセージが届いているとの問い合わせを受けて調査を開始し、9月24日に一部機能を一時停止、10月7日の第2報を経て10月9日に最大約445万人と開示しました。漏えいの可能性がある情報は氏名・電話番号・メールアドレスなどの連絡先、宿泊施設名、チェックイン・チェックアウト日、宿泊料金などです。手間いらずはクレジットカード情報と宿泊予約サイトのログイン情報は保有していないとしています。公表時点で、影響を受けた宿泊施設側からの個別公表は100件を超えています。
中小企業への影響
手間いらずは多数のホテル・旅館が共通で使う予約管理基盤で、システム提供元が侵害されると、それを利用する個々の宿泊事業者の顧客情報まで一斉に流出します。自社では何も落ち度がなくても、使っているSaaSや委託先が侵害されれば自社の顧客に被害が及ぶという、委託先・サプライチェーンのリスクがそのまま表れた事例です。予約者を装った不審メッセージ(WhatsApp等)による二次被害も報告されています。
推奨対応
- 顧客情報を預けている予約・会計・顧客管理などのSaaS・委託先を一覧にし、各社の漏えい時の連絡・公表の手順を確認する
- 自社の宿泊者・顧客に、予約事業者をかたる不審なメッセージ(メール・SMS・WhatsApp)に注意するよう案内できる体制を整える
- 委託契約に、インシデント発生時の報告義務とその期限が明記されているかを確認する
求人サイト「バイトル」「バイトルNEXT」に不正アクセス、会員のメールアドレス最大約388万件が流出のおそれ
求人情報サイト「バイトル」「バイトルNEXT」を運営するディップは2026年10月9日、不正アクセスにより会員のメールアドレスの一部が流出した可能性があると公表しました。対象は最大で約388万件です。
流出した可能性があるのは会員のメールアドレスで、具体的な侵入経路やその他の情報項目、クレジットカード情報の有無については、公表時点で詳細が明らかにされていません(未公表)。同社は調査を続けるとしています。
中小企業への影響
メールアドレスだけでも、バイトルや求人応募に関する連絡を装ったフィッシングの標的リストとして悪用されます。求人サイトを使って採用活動をしている中小企業では、応募者・求職者に応募先をかたる偽メールが届くことを想定しておく必要があります。採用担当者宛てに応募通知を装った添付ファイルやリンクが送られてくるケースにも注意したいところです。
推奨対応
- 採用担当者に、応募・面接連絡を装ったメールの添付ファイルやリンクを安易に開かないよう周知する
- 求人媒体や応募管理システムのログインに多要素認証を設定し、パスワードの使い回しをやめる
- 応募者とのやり取りで個人情報を扱う端末・アカウントを、通常業務と分けて管理できないか検討する
編集部まとめ
2026年10月9日は、旅行・宿泊・求人という生活に身近なサービスで数百万件規模の漏えいが相次いで公表された。いずれも自社サービスや委託先システムが侵入口で、利用者である中小企業にも顧客情報の流出やフィッシングという形で影響が及ぶ。今週は、顧客情報を預けているSaaS・委託先の棚卸しと、各社の漏えい時の連絡体制の確認、従業員へのフィッシング注意喚起を優先したい。