アドベンチャー（skyticket）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月9日、アドベンチャーは、skyticket のシステムが経路の違う3件の不正アクセスを受け、利用者の情報が流出したと公表しました（アドベンチャーの発表）。

• 同社のサーバーへの不正アクセス（10月2日〜4日）：管理機能を不正に操作され、約1,464万件（うちハッシュ化したパスワードを含むもの約413万件）の氏名・生年月日・メールアドレス・電話番号・住所などが流出
• 業務管理システムの脆弱性を悪用された不正アクセス（9月20日）：17,780件（重複を含む）の氏名・電話番号・返金先の口座情報など
• バスの予約完了ページがログインなしで表示できる状態で、約12,000件の予約情報が閲覧された（8月3日〜10月1日）

2026年10月16日の第2報では、2018年6月以前の有料会員サービスの会費の支払いの変更履歴（ログ）がサーバーに残っており、最大6,140人分のカード番号・名義・有効期限（セキュリティコードは含まない）と、会員特典の福利厚生サービスの ID・パスワードが流出したと公表し、第1報の「カード情報は流出していない」を訂正しました。

2026年10月28日の第3報では、不要になったあとも消さずにクラウドに置いていたデータベースの複製（バックアップ）の一部が、不正に取られた認証情報で読み取られたと公表しました。返金先の銀行口座情報32,341件（金融機関名・口座番号・口座名義（カナ）など）が外部に送信され、カード情報の一部（約93.6万件、下4桁などで全桁は含まない。ただし12件は全桁）と旅行保険の申し込みの情報（約11.8万件）も流出したおそれがあるとしています。口座情報などは暗号化せずに保存していたとしています。

会社の対応

• 不正アクセスの経路を遮断し、脆弱性への対策を行ったとしています
• 2026年10月7日18時ごろ、保存済みのカードでの支払いとカードの保存機能を停止
• 対象の利用者にメールで順に連絡し、個人情報保護委員会と関係機関に報告
• 決済代行会社を通じてカード会社に不正利用の監視を頼み、福利厚生サービスの運営会社にも報告
• 残っていたログを外からアクセスできない状態にする作業を進め、2018年6月以前のほかの支払いのカード情報が残っていないかを確かめているとしています
• 電話とメールの問い合わせ窓口を置いています
• 第3報（10月28日）：不正に使われた認証情報の権限を消し、データベースの複製を読み取れない状態にした（調査後に削除する予定）。外部の調査会社によるフォレンジック調査の準備を進めているとしています

この事例から中小企業が学べること

• 決済の方式を変えたあとも、ログやバックアップに古いカード情報が残っていないかを確かめる
• 使い終わったデータベースの複製をクラウドに残さない。残すなら保管の期限と担当を決め、口座番号などは暗号化する
• 管理画面は接続元を絞り、多要素認証を付ける
• 予約・注文の完了ページなど、ログインなしで開けるページに個人情報を出さない
• 暗号化の鍵をデータと同じ場所に置かない
• 公表では、調べ終えた範囲と調べている途中のことを分けて書き、あとで分かったことは訂正・続報として早めに知らせる