アドベンチャー「skyticket」 — Incident report
Published: 2026-10-09
skyticket.jp
Original source text (not a translation)
経路の違う3件の不正アクセス。最大約1,464万件の顧客情報が流出し、第2報でカード情報最大6,140名分の流出も判明 3件の経路が別々。(1)skyticketの一部管理機能を不正に操作され、そこから他のサーバーやクラウド上のデータにアクセスされた。(2)業務管理システムの脆弱性を悪用された。(3)バス予約の予約完了ページがログインなしで表示できる状態になっており、機械的に閲覧された (1)2026-10-02〜10-04に不正アクセスを受け、10-05に発覚。約1,464万件の氏名(パスポート表記を含む)・生年月日・メールアドレス・電話番号・住所・振込時の依頼人名義などが流出し、うち約413万件はハッシュ化したログインパスワードを含む。パスポート番号は流出していないことを確認。(2)09-20に発生し09-28に発覚。17,780件(重複を含む。一部は調査中)の氏名・電話番号・返金先の口座情報など。(3)08-03〜10-01に約1万2,000件の予約(同行者を含む)の氏名・生年月日・連絡先・乗車便などが閲覧されたおそれ(10-01に修正)。第1報では、クレジットカード番号とパスポート画像は保存しておらず流出していないとしていた(カード情報は10-16の第2報で訂正。後述)。二次被害は、09-09に確認した会員1名のアカウントへの不正ログインを除き確認されていない。10-07に保存済みカードでの支払いとカード情報の保存機能を停止。個人情報保護委員会に報告済み。10-08 19時ごろから対象者へ順次メールで通知し、パスワードの変更を呼びかけた。10-10には、問い合わせの急増で起きていたメールサーバーの障害が復旧したと告知し、同社を装った詐欺の連絡に注意を呼びかけた。10-13には専用の電話窓口を開設し、便乗した詐欺メールへの注意を改めて呼びかけた。10-16の第2報で第1報を訂正し、(1)の不正アクセスで10-03に取得されたログから、2017年2月〜2018年6月に有料会員サービス「skyticket プレミアム」の会費支払いにカードを登録・利用した最大6,140名のクレジットカード番号・名義・有効期限(一部は番号のみ。セキュリティコードは含まない)が流出したと公表した(判明は10-15)。2018年6月まではカード情報を自社サーバーで保管しており、決済代行会社に移行した際に会費支払いの変更履歴(ログ)が削除されずに残っていた。暗号化されていたが、暗号化に使う情報も取得されたため読み取られるおそれがある。会員特典のベネフィット・ステーションの会員ID・氏名・パスワードも流出した。2018年6月以前のほかの支払いのカード情報が残っていないかは確認中。決済代行会社を通じてカード会社に不正利用の監視を依頼し、二次被害は確認されていない(2026-10-16時