最終更新：10 月 28 日 18:12（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 利用者がやること ／ 問い合わせ先 ／ 会社が見直すこと ／ 技術的な詳細 ／ 経緯
ひとことで言うと
旅行予約サイト skyticket から、登録した人の名前や連絡先、返金先の口座の情報が外に漏れた事故（10 月 28 日の第 3 報まで）
- 3 つの別々の経路から入り込まれた（不正アクセス）。いちばん大きいのはサーバーで、登録・入力した人の氏名・生年月日・メールアドレス・電話番号・住所などが約 1,464 万件漏れた
- 第 2 報で、2017 年 2 月〜2018 年 6 月に「skyticket プレミアム」の会費をカードで払った人のカード番号なども、最大 6,140 名分漏れたと分かった。セキュリティコードは含まれない
- 第 3 報で、返金先として登録された銀行口座の情報 32,341 件が漏れたと分かった。カードの情報の一部（約 93.6 万件）と旅行保険の申込みの情報（約 11.8 万件）も、漏れたおそれがある。不要になったデータベースの複製を、消さずにクラウドに残していたのが原因
- 会員はパスワードを変える。プレミアムの会費をその期間にカードで払った人や、2021 年 5 月頃〜2024 年 5 月中旬頃に skyticket でカード払いをした人は、カードの明細を確かめる
どうすればいい？
よくある疑問と答え
-
自分は対象？
いちばん大きい件の対象は「skyticket に登録・入力した人」で、会員だけではありません。対象の人には info@skyticket.com からメールが来ます。対象かどうかの個別の問い合わせには答えられないとしています。
→ 3 つの不正アクセスと漏れた情報 -
クレジットカードは大丈夫？
漏れたのは、2017 年 2 月〜2018 年 6 月に skyticket プレミアムの会費をカードで払った人の分です。2018 年 7 月以降の支払い・登録のカード情報は漏れていません。
→ カードの明細の確かめ方 - パスワードは変えたほうがいい？ 変えてください。読めない形（ハッシュ化）でも、解析されて使われるおそれがあると会社は説明しています。メールのリンクではなく、公式サイトかアプリから変えます。
-
気をつけることは？
skyticket・金融機関・航空会社・バス会社などを名乗る連絡です。返金や補償を理由にした振込みの依頼にも応じないでください。
→ 最近の偽メール・偽 SMS の傾向 -
どこに問い合わせる？
電話は 03-5224-8859（平日 10:00〜18:00）、メールは info@skyticket.com です。
→ 止まっている機能と問い合わせ先 -
どうやって入られた？
管理機能を不正に操作された件、業務のシステムの弱点（脆弱性）を突かれた件、ログインしなくても予約のページが見えた件の 3 つです。
→ 技術的な詳細 -
予約や支払いの仕組みを持つ会社は？
仕組みを入れ替えたあとに、古いデータや記録（ログ）が残っていないかを確かめます（この記事での整理）。
→ 会社が見直すこと
この記事では、skyticket（スカイチケット）の情報漏洩について、運営するアドベンチャーの第 1 報（10 月 9 日）・第 2 報（10 月 16 日）・第 3 報（10 月 28 日）、関連するお知らせだけをもとに、流出した情報と、利用者がやること、会員や支払いの仕組みを持つ会社が見直すことを整理します。
何が起きたか
第 1 報で発表された内容です。アドベンチャーによると、今回の件は、それぞれ経路のちがう 3 件の不正アクセスです。同社は、入り込まれた経路をふさぎ、調査と対策を進めているとしています。
| 不正アクセス | 対象と漏れた情報 |
|---|---|
| サーバーへの不正アクセス（10 月 2 日〜4 日） | skyticket に登録・入力した人の約 1,464 万件（このうち会員のログインパスワードを含むものが約 413 万件）。氏名（パスポート表記を含む）・生年月日・メールアドレス・電話番号・郵便番号と住所・振込みのときの依頼人名義・会員のログインパスワード（ハッシュ化した状態のもの）。パスポート番号は漏れていないと確認したとしている |
| 同じ件で第 2 報で分かったこと | 2017 年 2 月〜2018 年 6 月に「skyticket プレミアム」（有料の会員サービス）の会費のためにカードを登録・利用した人の、カード番号・カード名義人名・有効期限（一部はカード番号だけ）。最大 6,140 名。会員特典のベネフィット・ステーションの会員 ID・氏名・パスワードも漏れた |
| 業務管理システムへの不正アクセス（9 月 20 日） | 17,780 件（重複を含む。ほかに件数を調べているものがある）。氏名・電話番号・返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）など。一部の人はメールアドレス・生年月日・住所も |
| バス予約の予約情報ののぞき見（8 月 3 日〜10 月 1 日） | 予約約 12,000 件（同行者を含めると人数はもっと多い）。予約者の氏名（カナ）・年齢・性別・メールアドレス・電話番号・会員 ID・支払方法と金額・乗車便の情報・同行者の氏名など |
カードの情報は、いまの skyticket のサーバーには置かれていません。漏れたのは、何年も前の仕組みの入れ替えのときに消されずに残っていた古い記録です（くわしくは技術的な詳細）。
第 1 報の時点で、会員 1 名のアカウントへの不正ログイン（9 月 9 日）のほかは、漏れた情報が悪用された被害（二次被害）は確認されていません。第 2 報でも、カード情報などの悪用は確認されていないとしています。
10 月 28 日の第 3 報で、新しく分かったことです。アドベンチャーによると、第 1 報で知らせたサーバーへの不正アクセス（10 月 2 日〜4 日）で、不正に取得された認証情報が悪用され、不要になったあとも消さずにクラウドに置いていたデータベースの複製（バックアップ）の一部が読み取られました。
- 返金先の銀行口座の情報（流出）：2022 年 3 月 1 日〜2024 年 5 月に、払い戻しなどのために返金先の口座を登録した人の 32,341 件。金融機関名・口座種別・口座番号・口座名義（カナ）で、漢字の名前・住所・メールアドレス・電話番号・暗証番号・ネットバンキングの ID とパスワードは含まれない
- カードの情報の一部（流出のおそれ）：2021 年 5 月頃〜2024 年 5 月中旬頃に skyticket でカード払いをした人の一部、約 93.6 万件（約 41.4 万人）。カードの名義、一部を伏せたカード番号（下 4 桁、または先頭 6 桁と下 4 桁）、ブラウザの情報で、番号の全桁・有効期限・セキュリティコードは含まれない。ただし 12 件は、名義の欄に番号が入力されていたため全桁が残っていた
- 旅行保険の申込みの情報（流出のおそれ）：国内旅行保険（2023 年 9 月〜2024 年 5 月の申込み）かキャンセル保険（2024 年 1 月〜5 月の申込み）を申し込んだ人と被保険者、約 11.8 万件（約 11.9 万人）。名前（カナ）・生年月日・性別・携帯電話番号・メールアドレス・会員 ID・予約の内容など
読み取られたデータのうち、口座の情報を含む部分は外に送られたことが確認されました。口座の情報と旅行保険の名前の項目は、本来は暗号化して保存するべきものが、暗号化されずに保存されていたとしています。口座とカードの情報は連絡先と結びつけられないため、個別の連絡はせず、公表で案内に代えるとしています。全桁が残っていた 12 件は、カード会社に不正利用の見張りを頼んでいます。外部の専門調査会社によるフォレンジック調査の準備を進めているとしています。
止まっている機能と問い合わせ先
保存したカードを使った不正な購入を防ぐため、10 月 7 日 18 時ごろから、保存済みのカードでの支払いと、カード情報を保存する機能を止めています（第 1 報）。
- アドベンチャーからの連絡 対象の人には、info@skyticket.com からメールで順に連絡するとしています。連絡先が分からない人には、お知らせの公表で案内に代えるとしています。
- 電話の窓口 03-5224-8859（平日 10:00〜18:00・土日祝日は受け付けていない）。10 月 13 日に開設
- メールの窓口 利用者は info@skyticket.com（24 時間受付・順に回答）。取引先・関係機関は support@adventure-inc.co.jp
利用者がやること
アドベンチャーが案内していることです。当てはまるものから進めてください。
- 会員はパスワードを変える。メールのリンクからではなく、公式サイトか公式アプリにログインして変える。同じパスワードをほかのサービスでも使っているなら、そちらも変える
- マイページの予約履歴と、カードの利用明細を見る。身に覚えのない予約や、予約の変更・キャンセルがあれば、上の窓口へ連絡する
- 返金先の口座を登録していた人は、口座の暗証番号やネットバンキングの ID・パスワードを聞き出そうとする連絡に気をつける。口座番号などだけで、すぐに預金が引き出されるものではないとしている。身に覚えのない入出金があれば、取引している金融機関に相談する
- バスを予約した人は、skyticket や運行会社を名乗って、予約の変更・キャンセルや追加料金を求める連絡に気をつける
- 2017 年 2 月〜2018 年 6 月に skyticket プレミアムの会費をカードで払った人は、そのカードの 10 月以降の明細を見る（カードを更新していても番号が変わらないことがある）。少しでも身に覚えのない請求があれば、カードの裏にあるカード会社の窓口へ。再発行が不安なときも同じ窓口に相談する。ベネフィット・ステーションを今も使っているなら、そのパスワードも変える
アドベンチャーは、メール・SMS・電話でカード番号・有効期限・セキュリティコード・パスワードを尋ねることや、メールのリンクからカード情報を入れさせることはないとしています。返金や補償を理由に、振込みや手数料の支払い、アプリのインストールを求める連絡にも応じないよう案内しています。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 28 日 | 第 3 報（適時開示）。返金先の銀行口座の情報 32,341 件の流出と、カードの情報の一部（約 93.6 万件）・旅行保険の申込みの情報（約 11.8 万件）の流出のおそれを公表。不要になったデータベースの複製をクラウドに残していたことが原因。フォレンジック調査を準備中 |
| 10 月 16 日 | 第 2 報。skyticket プレミアムの会費の支払いに使われたカード情報（最大 6,140 名）と、ベネフィット・ステーションの会員 ID などが漏れたと発表し、第 1 報を訂正（分かったのは 10 月 15 日）。業績への影響は精査中 |
| 10 月 13 日 | 電話の専用窓口を開設 |
| 10 月 9 日 | 第 1 報。3 件の不正アクセスと、漏れた情報・件数を発表。個人情報保護委員会に報告。同じ日に、10 月 8 日に送ったお知らせのメールが skyticket からの正式なものだと案内 |
| 10 月 8 日 | 19 時ごろから、一部の利用者に info@skyticket.com からお知らせのメールを順に送信 |
| 10 月 7 日 | 18 時ごろ、保存済みカードでの支払いと、カード情報の保存機能を止めた |
| 10 月 2 日〜5 日 | 2 日〜4 日にサーバーへの不正アクセス（3 日にプレミアムの会費の記録が取られた）。5 日に発覚 |
| 10 月 1 日 | バスの予約完了ページがのぞかれていたことに気づき、同じ日に修正（のぞかれていたのは 8 月 3 日から） |
| 9 月 20 日〜28 日 | 20 日に業務管理システムへの不正アクセス。28 日に発覚 |
会員や予約の仕組みを持つ会社が見直すこと
今回のカード情報の流出は、何年も前に仕組みを入れ替えたとき、消したはずの情報が記録（ログ）の中に残っていたことから起きました。会員の登録・予約・支払いを自社のサイトで受けている中小企業にも、同じことは起こりえます（この記事での整理）。
- 古いデータと記録の置き場所を洗い出す サイトの作り替えや支払いの方式を変えたあと、旧サイトのデータベース・バックアップ・ログ・書き出した表計算のファイルが残っていないかを確かめ、いらないものは消します。
- 管理画面の入り口を守る 管理画面に入れる人と場所を絞り、使っていないアカウントを消します。管理機能を足がかりにされると、ほかのサーバーのデータまで届いてしまうことがあります。
- ログインしなくても見えるページがないか確かめる 予約完了・注文完了・申込み内容の確認など、個人の情報が出るページを、URL を知っていればだれでも開ける状態にしていないかを確かめます。
- 自社からの連絡の手段を公式サイトに書いておく どのアドレスからメールを送るか、何を尋ねないかを公式サイトに書いておくと、自社を装う連絡と見分けてもらいやすくなります。
技術的な詳細（システム担当者向け）
ここからは、予約・会員・決済の仕組みを運用している担当者・エンジニア向けです。第 1 報と第 2 報（適時開示）から読み取れる技術的な点を、経路ごとに並べます。
| 観点 | 発表の内容 |
|---|---|
| サーバーへの侵入と横展開 | skyticket の一部の管理機能を不正に操作され、そこからほかのサーバーとクラウド上のデータに不正にアクセスされた（10 月 2 日〜4 日・10 月 5 日に発覚） |
| カード情報が残っていた理由 | 現在はカード情報を決済代行会社に預けて呼び出す方式で、自社サーバーには保管していない。2018 年 6 月以前は自社サーバーで保管しており、移行時にカード情報は削除したが、プレミアムの会費の支払いに関する変更履歴（ログ）が削除されずに残っていた。このログが 10 月 3 日に取得された |
| 暗号化の状態 | カード情報とベネフィット・ステーションの情報は暗号化されていたが、暗号化に使う情報も取得されたため、読み取られるおそれがある。会員のログインパスワードはハッシュ化された状態で流出し、解析されて使われるおそれがあるとしている |
| 業務管理システム | 業務管理システムの脆弱性を悪用された（9 月 20 日・9 月 28 日に発覚）。脆弱性の種類や製品名は発表に無い |
| バスの予約完了ページ | ログインしなくても表示できる状態で、第三者に機械的に閲覧された（8 月 3 日〜10 月 1 日。10 月 1 日に修正） |
| 暫定対応 | 10 月 7 日 18 時ごろから、保存済みカードでの決済とカード情報の保存機能を停止。不正アクセスの経路は遮断済み |
| 確認中のこと | 会費以外の 2018 年 6 月以前の支払いのカード情報が残っていないか。業務管理システムの件の一部の件数 |
この記事での整理です。3 つの経路は、管理機能の保護、脆弱性の修正、ページごとのアクセス制御（認可）と、別々の弱点です。自社の仕組みでは、次の点を確かめておくと被害を小さくできます。
- 決済方式を移行したときの消去の範囲：データベースの本体だけでなく、変更履歴のテーブル・アプリやミドルウェアのログ・バックアップ・検証環境のコピーまで含めて消したかを確かめる
- 暗号鍵の置き場所：暗号化したデータと、暗号化に使う鍵を同じサーバーや同じ権限で読める状態にしない
- 管理機能：接続元の制限と多要素認証をかけ、管理機能からほかのサーバーやクラウドのストレージへ届く権限を必要な分だけにする
- 予約・注文の完了ページ：URL の番号や文字列だけに頼らず、表示のたびにログイン中の本人の予約かを確かめる。短時間に多くの予約番号を開くアクセスをログで見つけられるようにする
次に読む：宿の予約の仕組み「TEMAIRAZU」への不正アクセス ／ ほかの会社の最近の事故の一覧
公開後も続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、古いデータの整理や管理画面の守り、事故のときのお知らせの掲載を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
