skyticketに不正アクセス 個人情報約1,464万件が流出、会員はパスワードの変更を

アドベンチャーは2026年10月9日、運営する比較予約サイト「skyticket(スカイチケット)」が、3件の不正アクセスを受けたと発表した。客の個人情報が流出した、または流出したおそれがある。最も大きい件では約1,464万件にのぼる。

何があったのか

サーバーの件は、skyticketの一部の管理機能を不正に操作された。そこから、ほかのサーバーやクラウドに保管していたデータに入り込まれた。業務管理システムの件は、システムの弱点(脆弱性)を悪用された。この件では、9月9日に会員1人のアカウントへの不正ログインも確認した。バスの件は、予約完了のページがログインなしで見られる状態で、第三者に機械的に閲覧された。10月1日に直したという。

パスポート番号は、サーバーの件では流出していない。業務管理システムの件は、流出がなかったか確認を続けている。クレジットカード番号とパスポートの画像は保存しておらず、どの件でも流出していない。1人の不正ログインのほかに、悪用の被害は確認されていない。

かんたんに言うと

ハッシュ化は、パスワードを元に戻しにくい形に変えて保存するやり方だ。それでも、解析で元のパスワードが分かるおそれがある。会社は、skyticketや同じパスワードを使うほかのサービスに、不正にログインされるおそれがあると説明している。

利用者がやること

• skyticketの会員は、パスワードを変える。ほかのサービスで同じパスワードを使っていれば、そちらも変える。変更はメールのリンクからでなく、公式サイトか公式アプリから行う。
• マイページの予約履歴と、クレジットカードの利用明細を確かめる。
• 会社や金融機関、航空会社、バス会社などを名乗る不審なメール、SMS、電話、郵便物に注意する。返金や補償を理由に、振込や手数料、アプリのインストールを求める連絡には応じない。口座に身に覚えのない入出金があれば、取引先の金融機関に相談する。

会社は対象の人に、10月8日19時ごろから順次、info@skyticket.com からメールを送っている。メールが届かない人には、お知らせのページで案内に代える。会社がパスワードやカード番号、口座の暗証番号を尋ねることはない。問い合わせも同じアドレスで受け付けている。

アドベンチャーの対応

不正アクセスの経路をふさぎ、弱点への対策をとった。保存したカードでの不正な買い物を防ぐため、10月7日18時ごろから、保存済みカードでの支払いとカード情報の保存を止めている。個人情報保護委員会にも報告した。

まとめ

パスワードや口座の情報まで含む流出だ。会員は、まずパスワードを変えておきたい。