アドベンチャー（skyticket） — Incident report
Published: 2026-10-16
jp.adventurekk.com
Original source text (not a translation)
①当社サーバー：流出を確認した対象約1,464万件。うちハッシュ化ログインパスワードを含むもの約413万件。氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込依頼人名義等。②業務管理システム：対象17,780件（重複を含む。このほか件数を調査中のものあり）。氏名・電話番号・返金先口座情報等が流出した、または流出したおそれ。③バス予約サービス：予約約12,000件（同行者を含む人数はこれより多い）。氏名・年齢・性別・連絡先・会員ID・予約や乗車便・同行者等の情報が閲覧された、または閲覧されたおそれ。3区分は件数の単位・状態が異なるため合算しない。パスポート画像の流出はない。パスポート番号は①③で流出なしを確認、②は現時点で流出確認なしだが引き続き確認中。10/16第2報で「カード番号の流出なし」とした第1報を訂正。2017年2月〜2018年6月にskyticketプレミアムの会費支払いでカードを登録・利用した最大6,140名のカード番号、名義人名、有効期限（一部は番号のみ）が流出。セキュリティコードは含まれない。ベネフィット・ステーション利用用の会員ID・氏名・パスワードも流出し、暗号化に用いる情報も取得されたため読み取られるおそれがある。最大6,140名は別区分で、約1,464万件等へ合算しない。2018年7月以降の支払い・登録に関するカード情報は流出なし。プレミアム会費以外の2018年6月以前のログ残存は確認中。公表された原因・経路：10/9公表では、それぞれ異なる経路による3件の不正アクセス。①一部の管理機能が不正に操作され、他のサーバー・クラウド上のデータにも不正アクセス。②業務管理システムの脆弱性の悪用。会員1人の不正ログインも公表されているが、全体の侵入原因をアカウントの乗っ取りだけとはしない。③予約完了ページのアクセス制御の問題（10/1修正済み）。10/16第2報では、カード情報を自社で保管しない方式への移行時に過去の会費支払いログが削除されず残存し、10/3に不正取得されたことを確認。暗号化に用いる情報も取得された。新たな別件として数えない。