skyticketに不正アクセス｜約1,464万件が流出、カード情報も最大6,140人

旅行の比較予約サイト「skyticket」を運営するアドベンチャーが、2026年10月9日に、経路の違う3件の不正アクセスで利用者の情報が流出したと公表しました。 最も大きいサーバーへの不正アクセスでは、登録・入力した利用者の情報約1,464万件が流出したとしています（アドベンチャーの2026年10月9日の発表）。 10月16日の第2報では、2018年6月以前に有料会員サービスの会費をカードで払った人の、カード番号などが最大6,140人分流出したと分かり、第1報の「カード情報は流出していない」を訂正しました（2026年10月16日の発表）。

公表された内容

1. 同社のサーバーへの不正アクセス（2026年10月2日〜4日）

• 原因：skyticket の一部の管理機能を不正に操作され、そこから他のサーバーとクラウドに保管していたデータにアクセスされた（2026年10月9日の発表）
• 対象：約1,464万件（うち会員のログインパスワードを含むもの約413万件）。氏名（パスポートの表記を含む）・生年月日・メールアドレス・電話番号・住所・振込の依頼人名義・ハッシュ化したパスワード。パスポート番号は流出していないとしています
• カード情報（第2報で判明）：2017年2月〜2018年6月に「skyticket プレミアム」の会費の支払いにカードを登録・利用した人、最大6,140人。カード番号・名義・有効期限（一部は番号のみ）。セキュリティコードは含まないとしています。会員特典の福利厚生サービスの会員 ID・氏名・パスワードも流出したとしています（2026年10月16日の発表）
• カード情報が残っていた理由：2018年7月にカード情報を持たない方式に移った際に保管分は消したが、会費の支払い情報の変更履歴（ログ）が消されずに残っていた。10月3日にこのログが取られたことを確認。暗号化していたが、暗号化に使う情報も取られたとしています（同）

2. 業務管理システムへの不正アクセス（2026年9月20日）

• 原因：業務管理システムの脆弱性を悪用された（2026年10月9日の発表）
• 対象：17,780件（重複を含む。ほかに件数を調べているものがある）。氏名・電話番号・返金先の口座情報など。一部はメールアドレス・生年月日（68件）・住所（18件）も。このほか9月9日に会員1人のアカウントへの不正ログインを確認

3. バス予約の予約完了ページの閲覧（2026年8月3日〜10月1日）

• 原因：予約完了ページがログインしなくても表示できる状態で、第三者に機械的に閲覧された。10月1日に修正（2026年10月9日の発表）
• 対象：予約約12,000件（同行者を含めると人数はもっと多い）。予約者の氏名（カナ）・年齢・性別・メールアドレス・電話番号・会員 ID・支払方法と金額・乗車便の情報・同行者の氏名など

経緯

• 2026年8月3日〜10月1日：バスの予約完了ページが第三者に閲覧される（10月1日に気づき修正）
• 2026年9月20日：業務管理システムへの不正アクセス（9月28日に発覚）
• 2026年10月2日〜4日：同社のサーバーへの不正アクセス（10月5日に発覚）
• 2026年10月7日18時ごろ：保存済みのカードでの支払いとカードの保存機能を停止
• 2026年10月9日：3件をまとめて公表。個人情報保護委員会に報告
• 2026年10月15日：古いログに残っていたカード情報の流出が判明
• 2026年10月16日：第2報と第1報の訂正。決済代行会社を通じてカード会社に不正利用の監視を頼み、ログを外から見えない状態にする作業を進めているとしています

中小企業が今日からできること

• 古いデータとログの置き場所を洗い出す：今回は、方式を変えたときに消したはずのカード番号が、変更履歴のログに残っていた。自社の EC やシステムで、昔の決済情報や個人情報がログ・バックアップ・検証用の環境に残っていないかを制作会社に確かめ、要らないものは消す
• 管理画面を外から触れないようにする：管理機能へのアクセスを会社の IP アドレスに絞る、多要素認証を付けるなど、管理画面の守りを制作会社と確かめる
• ログインなしで開けるページがないか確かめる：予約完了・注文完了・領収書のページが、URL を知っていればだれでも開ける作りになっていないかを試す
• 暗号化の鍵を同じ場所に置かない：データを暗号化していても、鍵が同じサーバーにあれば一緒に取られる。鍵の置き場所を確かめる
• 出張の手配に使っていれば、パスワードを変える：社員が skyticket を会社のアドレスで使っていたら、同じパスワードを使っている会社のアカウントのパスワードも変え、返金や予約変更を名乗る連絡に注意するよう伝える