アドベンチャーのskyticketへの不正アクセス
- タグ
- 国内
比較予約サイト「skyticket」を運営するアドベンチャーの2026年10月9日の第1報によると、skyticketのシステムが経路の異なる3件の不正アクセスを受け、顧客の個人情報が外部に流出したか、流出したおそれがある［3、4］。10月28日の第3報でアドベンチャーは、自社サーバーへの不正アクセスで不正に取得された認証情報が悪用され、データベースの複製から返金先の銀行口座情報が流出したと説明した［9］。
経緯
第1報では、自社サーバーへの不正アクセスで、skyticketの一部の管理機能が不正に操作され、そこから他のサーバーとクラウド上に保管していたデータに不正にアクセスされた［3、4］。業務管理システムへの不正アクセスは、システムの脆弱性を悪用されたものだった［3、4］。バス予約サービスでは、予約完了ページがログインしなくても表示できる状態になっており、第三者に機械的に閲覧された［3、4］。
残っていたカード情報のログ
アドベンチャーは第1報で、顧客のクレジットカード番号とパスポートの画像を保存しておらず、いずれの不正アクセスでもカード情報とパスポートの画像は流出していないと説明していた［3、4］。第2報で、このうちカード情報の記載を事実と異なっていたとして訂正した［7］。
第2報によると、skyticketは現在、カード払いの際に決済代行会社に保存されたカード情報を呼び出して決済し、自社サーバーにはカード情報を保管していない［7］。この方式に移行したのは2018年7月で、移行の際にそれまで自社サーバーで保管していたカード情報は削除した［7］。同月以降の支払いと登録に関するカード情報は流出していない［7］。
アドベンチャーは、「skyticket プレミアム」の会費の支払いに関する情報の変更履歴（ログ）が削除されずに自社サーバーに残り、その中にカード情報が含まれていたと説明した［7］。会費以外の2018年6月以前の支払いに関するカード情報が自社サーバーに残っていないかは、確認を進めている［7］。
データベースの複製
第3報によると、アドベンチャーは、読み取られたデータのうち返金先の銀行口座情報を含む部分が外部に送信されたことを確認した［9］。その他の部分は外部への送信の痕跡は確認されていないが、送信の可能性を否定できないため、流出したおそれがあるものとした［9］。データベースの複製（バックアップ）は過去に取得したもので、不要になった後も削除せず、クラウド上に残していた［9］。銀行口座情報と旅行保険の名前の項目は、本来暗号化して保存すべきものだったが、暗号化されずに保存されていた［9］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | バス予約サービスの予約情報が閲覧された | ［3、4］ |
| 2026年 | アドベンチャー | 会員1名のアカウントへの不正ログインを確認した | ［3、4］ |
| 2026年 | - | 業務管理システムへの不正アクセスがあった | ［3、4］ |
| 2026年 | - | 業務管理システムへの不正アクセスが発覚した | ［3、4］ |
| 2026年 | アドベンチャー | バス予約サービスでの予約情報の閲覧が発覚し、予約完了ページを修正した | ［3、4］ |
| 2026年 | - | 自社サーバーへの不正アクセスがあった | ［3、4］ |
| 2026年 | - | 自社サーバーへの不正アクセスで、「skyticket プレミアム」の会費の支払いに関するログが取得された | ［7］ |
| 2026年 | - | 自社サーバーへの不正アクセスが発覚した | ［3、4］ |
| 2026年 | アドベンチャー | 保存済みクレジットカードによる支払いと、カード情報の保存機能を停止した | ［3、4］ |
| 2026年 | アドベンチャー | 一部の顧客に、情報流出を知らせる電子メールを順次送り始めた | ［1］ |
| 2026年 | アドベンチャー | 第1報を適時開示し、会社サイトにも掲載した | ［3、4］ |
| 2026年 | - | 「skyticket プレミアム」のカード情報等の流出が判明した | ［7］ |
| 2026年 | アドベンチャー | 第2報を適時開示と会社サイトで出し、第1報の一部を訂正した | ［7、8］ |
| 2026年 | アドベンチャー | 第3報を適時開示した | ［9］ |
| 2026年 | アドベンチャー | 第3報を会社サイトに掲載し、第2報の記載を訂正した | ［10］ |
影響範囲
| 不正アクセス | 対象 | 件数 | 情報 | 状態 | パスポート番号 | 資料 |
|---|---|---|---|---|---|---|
| 自社サーバーへの不正アクセス | skyticketに登録・入力した顧客 | 約1,464万件（このうち会員のログインパスワードを含むもの約413万件） | 氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込み時の依頼人名義、会員のログインパスワード（ハッシュ化した状態のもの） | 流出した | 流出していないことを確認した | ［3、4］ |
| 業務管理システムへの不正アクセス | - | 17,780件（重複を含む。このほか件数を調査中のものがある） | 氏名、電話番号、返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）など。一部の顧客はメールアドレス・生年月日（68件）、住所（18件）なども含む | 流出した、または流出したおそれがある | 流出の事実は確認されていないが、流出がなかったかを引き続き確認している | ［3、4］ |
| バス予約サービスでの予約情報の閲覧 | 予約 | 約12,000件（同行者を含むと人数はこれより多い） | 予約者の氏名（カナ）、年齢、性別、生年月日（登録がある場合）、メールアドレス、電話番号、会員ID、予約に使われた端末の種類、支払方法・金額、予約日時、乗車便の情報（日時・乗降地・運行会社・便名・運行会社の予約番号）、同行者の氏名・年齢・性別 | 閲覧された、または閲覧されたおそれがある | 流出していないことを確認した（適時開示の版） | ［3、4］ |
| 公表 | 情報 | 対象 | 件数 | 項目 | 状態 | 資料 |
|---|---|---|---|---|---|---|
| 第2報 | 「skyticket プレミアム」のクレジットカード情報 | 2017年2月から2018年6月までの間に、会費の支払いのためにクレジットカードを登録または利用した顧客 | 最大6,140名 | クレジットカード番号、カード名義人名、有効期限（一部の顧客はカード番号のみ）。セキュリティコードは含まない | 流出した | ［7］ |
| 第3報 | 返金先の銀行口座情報 | 2022年3月1日から2024年5月までの間に、払戻し等のため返金先の銀行口座を登録した顧客 | 32,341件 | 金融機関名、口座種別、口座番号、口座名義（カナ）。名前（漢字）、住所、メールアドレス、電話番号、暗証番号、インターネットバンキングのID・パスワードは含まない | 流出した | ［9］ |
| 第3報 | クレジットカード情報の一部 | 2021年5月頃から2024年5月中旬頃までの間に、skyticketでカード払いの手続きをした顧客の一部 | 約93.6万件（約41.4万人） | カード名義、一部を伏せ字にしたカード番号（下4桁のみ、又は先頭6桁及び下4桁）、ブラウザの情報。カード番号の全桁、有効期限、セキュリティコードは含まない | 流出したおそれがある | ［9］ |
| 第3報 | 旅行保険の申込みに関する情報 | 国内旅行保険（2023年9月から2024年5月までの申込み分）又はキャンセル保険（2024年1月から同年5月までの申込み分）を申し込んだ顧客と、国内旅行保険の被保険者 | 約11.8万件（約11.9万人） | 契約者の名前（カナ）、生年月日、性別、携帯電話番号、メールアドレス、会員ID、予約内容（便名、搭乗日、区間、旅行代金）、被保険者の名前（カナ）、生年月日、性別 | 流出したおそれがある | ［9］ |
第2報では、カード情報に加え、「skyticket プレミアム」の会員特典であるベネフィット・ステーション（ベネフィット・ワンが提供する福利厚生サービス）を利用するための会員ID、氏名、パスワードも流出した［7］。これらは暗号化されていたが、暗号化に用いる情報も不正に取得されているため、読み取られるおそれがあると説明した［7］。アドベンチャーは第3報のウェブ版で、流出したのは「skyticket プレミアム」を利用するために内部で設定している会員ID、氏名で、ベネフィット・ステーションの会員ID、氏名、パスワードではないことを確認したとして訂正した〔注1〕［10］。
アドベンチャーは第3報で、伏せ字のカード番号などの情報だけでカードが決済に使われることはないと考えているとした［9］。ただし12件は、カード名義の欄にカード番号が入力されていたため、カード番号が全桁で記録されていた（カード名義、有効期限、セキュリティコードは含まない）［9］。
第1報によると、業務管理システムの項に挙げた会員1名のアカウントへの不正ログインを除き、流出した情報の悪用による二次被害は確認されていない［3、4］。流出したカード情報等が悪用された二次被害も、第2報で確認されていないとした［7］。
対応と現状
遮断・隔離と調査
アドベンチャーは第1報で、不正アクセスを確認した後に直ちにその経路を遮断し、脆弱性への対策を実施していると説明した［3、4］。保存済みのクレジットカードによる支払いとカード情報の保存機能を止めたのは、カードを保存している会員のアカウントに不正ログインされ、skyticket上で不正に購入されるのを防ぐためだった［3、4］。個人情報保護委員会には報告している［3、4］。
TRAICYは10月8日の記事で、「スカイチケットのウェブサイトは現在、利用できなくなっている」と報じた［11］。
第2報では、カード情報を含むログを外部からアクセスできない状態にするため、隔離作業を進めている［7］。個人情報保護委員会と関係機関には、第2報と第3報で報告していると説明した［7、9］。決済代行会社に報告して同社を通じてカード会社に不正利用のモニタリングを依頼し、ベネフィット・ワンにも報告している［7］。
アドベンチャーは第3報で、被害の全容を早く確定させるため、外部の専門調査会社によるデジタル・フォレンジック調査の実施に向けて準備を進めているとした［9］。不正アクセスの経路と流出した情報の範囲を詳しく調べる［9］。
- 不正に利用された認証情報の権限を削除し、データベースの複製を読み取れない状態にした［9］。
- 複製は、調査に必要な保全をしたうえで、調査の完了後に削除する予定である［9］。
- 決済代行会社に報告し、全桁のカード番号が記録されていた12件について、カード会社による不正利用のモニタリングを依頼している［9］。
- 旅行保険の引受保険会社に報告し、契約者への通知は後日送る［9］。
業績への影響は、第3報の適時開示で、フォレンジック調査に要する費用を含めて精査しているとした［9］。
顧客への連絡
アドベンチャーは会社サイトの告知で、一部の顧客に送った情報流出を知らせるメールは、自社が正式に送ったものだと説明した［1］。skyticketのサイトの告知では、メールの件名は4種類あり、うち2種類には「銀行口座情報を含む」とあった［2］。
第1報では、ハッシュ化して保存していたログインパスワードが解析で判明し、skyticketや同じパスワードを使う他のサービスへの不正ログインに悪用されるおそれがある［3、4］。skyticketの会員にはパスワードの変更を依頼し、他のサービスで同じパスワードを使っていればそちらも変えるよう求めた［3、4］。アドベンチャーは、流出した情報を悪用し、自社や金融機関、航空会社、バス運行会社などを装った詐欺メール・SMS・電話・郵便物が届くおそれもあるとした［3、4］。
skyticketのサイトの10月10日の告知によると、問い合わせの増加に伴って起きていたメールサーバーの障害は復旧し、予約確認メールなどを通常どおり送っている［5］。第1報の公表に関連する電話とメールの問い合わせが多く、電話がつながりにくく、メールの返信にも時間がかかっていた［5］。アドベンチャーは10月13日の告知で、顧客専用の電話の問い合わせ窓口を開設したと知らせた［6］。
第3報のウェブ版では、銀行口座情報は、連絡先を確認できた顧客に電子メールで順次個別に連絡する［10］。連絡先を確認できない顧客とカード情報の対象の顧客は、連絡先と結び付けることができないため、このお知らせで案内に代えるとした〔注2〕［10］。
未公表の事項
- 自社サーバーへの不正アクセスで、一部の管理機能が不正に操作された手段
- 業務管理システムで悪用された脆弱性の種類
- 第1報で示した不正アクセスごとの対象の人数
- 保存済みクレジットカードによる支払いとカード情報の保存機能を再開する時期
- 第3報で示した情報の悪用による二次被害の有無
注
出典
当事者
- ［1］株式会社アドベンチャー『【重要】当社よりお送りした「個人情報の流出に関するお知らせ」メールについて』（2026年10月8日公開）
- ［2］株式会社アドベンチャー『【重要】skyticketよりお送りした「個人情報の流出に関するお知らせ」メールについて』（2026年10月9日公開）
- ［3］株式会社アドベンチャー『不正アクセスによるお客様情報の流出に関するお詫びとお知らせ』（2026年10月9日公開、PDF、適時開示）
- ［4］株式会社アドベンチャー『不正アクセスによるお客様情報の流出に関するお詫びとお知らせ』（2026年10月9日公開）
- ［5］株式会社アドベンチャー『【重要】メールサーバー障害の復旧に関するお知らせ』（2026年10月10日公開）
- ［6］株式会社アドベンチャー『不正アクセスによるお客様情報の流出に関する電話窓口開設のお知らせ』（2026年10月13日公開）
- ［7］株式会社アドベンチャー『不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）及び第1報の一部訂正について』（2026年10月16日公開、PDF、適時開示）
- ［8］株式会社アドベンチャー『不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）』（2026年10月16日公開）
- ［9］株式会社アドベンチャー『（開示事項の経過）不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第3報）』（2026年10月28日公開、PDF、適時開示）
- ［10］株式会社アドベンチャー『不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第3報）』（2026年10月30日公開）
報道機関
- ［11］TRAICY Japan, Inc.『スカイチケット、不正アクセス被害 クレカ情報は含まず』（2026年10月8日公開）
更新記録
- 2026年11月1日：公開した。