skyticketの不正アクセス 第3報｜返金先の口座情報3.2万件が流出
公開
旅行の比較予約サイト「skyticket」を運営するアドベンチャーが、2026年10月28日に不正アクセスの第3報を出しました。 10月2日〜4日の不正アクセスで、不要になったあとも消さずにクラウドに置いていたデータベースの複製（バックアップ）の一部が読み取られ、返金先の銀行口座情報32,341件が外部に送信されたと公表しました（アドベンチャーの2026年10月28日の発表）。 カード情報の一部（約93.6万件）と旅行保険の申し込みの情報（約11.8万件）も、流出したおそれがあるとしています。
第1報・第2報（約1,464万件の流出と、最大6,140人分のカード情報）の内容は、10月16日の速報にまとめています。
公表された内容
- 返金先の銀行口座情報（流出）：2022年3月1日〜2024年5月に、払い戻しなどのため返金先の口座を登録した利用者。32,341件。金融機関名・口座の種類・口座番号・口座名義（カナ）。漢字の氏名・住所・メールアドレス・電話番号・暗証番号・ネットバンキングの ID とパスワードは含まないとしています（2026年10月28日の発表）
- カード情報の一部（流出のおそれ）：2021年5月ごろ〜2024年5月中旬ごろに skyticket でカード払いをした利用者の一部。約93.6万件（約41.4万人）。カード名義・一部を伏せ字にしたカード番号（下4桁、または先頭6桁と下4桁）・ブラウザの情報。全桁の番号・有効期限・セキュリティコードは含まないとしています。ただし12件は、名義の欄にカード番号が入力されていたため全桁が記録されていたとしています（同）
- 旅行保険の申し込みの情報（流出のおそれ）：国内旅行保険（2023年9月〜2024年5月の申し込み分）とキャンセル保険（2024年1月〜5月の申し込み分）。約11.8万件（約11.9万人）。契約者の氏名（カナ）・生年月日・性別・携帯電話番号・メールアドレス・会員 ID・予約の内容と、被保険者の氏名（カナ）・生年月日・性別（同）
- 原因：過去に取ったデータベースの複製を、不要になったあとも消さずにクラウドに保管していた。10月2日〜4日の不正アクセスで不正に取られた認証情報が使われ、複製の一部が読み取られた。口座情報の部分は外部への送信を確認し、ほかの部分は送信の痕跡はないが、否定できないため「流出のおそれ」としています。口座情報と旅行保険の氏名の項目は、本来は暗号化すべきところ、暗号化せずに保存していたとしています（同）
- 侵入の経路の全体：外部の調査会社のフォレンジック調査で詳しく調べるとしており、まだ公表されていません
経緯
- 2026年10月2日〜4日：同社のサーバーへの不正アクセス（10月5日に発覚）
- 2026年10月9日：第1報。経路の違う3件の不正アクセスで、約1,464万件などが流出したと公表
- 2026年10月16日：第2報。古いログに残っていたカード情報が最大6,140人分流出したと公表し、第1報を訂正
- 2026年10月28日：第3報。データベースの複製から、返金先の口座情報32,341件の流出と、カード情報の一部・旅行保険の情報の流出のおそれを公表
会社の対応
- 不正に使われた認証情報の権限を消し、複製を読み取れない状態にした。調査に必要な保全をしたうえで、調査が終わりしだい複製を消すとしています
- 全桁の番号が記録されていた12件は、決済代行会社を通じてカード会社に不正利用の監視を頼んだとしています
- 旅行保険の引受保険会社に報告し、契約者には後日知らせるとしています
- 口座情報とカード情報は利用者の連絡先と結び付けられないため、ウェブサイトと skyticket での公表で案内に代えるとしています
- 個人情報保護委員会と関係機関に報告。外部の調査会社にフォレンジック調査を頼む準備を進めています
中小企業が今日からできること
- 使い終わったバックアップ・複製を探して消す：移行やテストのために取ったデータベースの複製が、クラウドのストレージに残っていないかを制作会社・クラウドの担当と確かめる。残す必要があるものは、保管の期限と担当を決める
- 口座番号・カード情報は暗号化して保存する：返金や振込のために預かる口座情報を、表計算のファイルや暗号化していない列に置いていないかを確かめる
- クラウドの認証情報（アクセスキー）を見直す：使っていないキーを消し、残すキーは読める範囲を必要な場所だけに絞る
- 入力欄の誤入力にも備える：名義の欄にカード番号が入っていた例のように、決まった欄以外に機密の情報が入ることがある。自由に書ける欄を保存する前に、カード番号の形の文字列を弾く仕組みを検討する
- 返金・補償をかたる連絡に注意するよう社内に伝える：出張の手配で skyticket を使っていた社員には、暗証番号やネットバンキングのパスワードを聞く連絡に応じないよう伝える