skyticketで1464万件の個人情報流出か 413万件にはパスワードも、異なる3経路で不正アクセス：返金口座や予約情報も対象に

旅行予約サイト「skyticket」で、約1464万件の個人情報が流出した恐れがあることが分かった。会員のログインパスワード約413万件分に加え、別の事案では返金先の口座情報、バスの予約情報も対象となった。運営元のアドベンチャーが公表した3件の事案から、何が漏れ、どのような二次被害が懸念されるのか。

[＠IT]

　旅行予約サイト「skyticket」を運営するアドベンチャーは2026年10月9日、同サイトなどで3件の不正アクセス・情報閲覧事案が発生し、顧客の個人情報が外部に流出した、または流出した恐れがあると発表した。

　同社によると、対象となる情報は約1464万件に上り、このうち約413万件には会員のログインパスワードが含まれる。別の事案では返金先の口座情報、バス予約サービスでは予約者や同行者の情報も閲覧された可能性がある。

　同社は不正アクセス経路の遮断や脆弱（ぜいじゃく）性への対策を実施したとしている。現時点では情報の悪用による二次被害について、会員1人のアカウントへの不正ログインを除いて確認されていないという。

個人情報1464万件、パスワード約413万件も対象に

　1件目は、2026年10月2〜4日にかけて発生した同社サーバへの不正アクセスだ。同年10月5日に発覚した。

　同社によると、skyticketの一部管理機能が不正に操作され、そこから他のサーバやクラウドに保管していたデータに不正アクセスされたという。対象は、skyticketに登録・入力された顧客情報約1464万件。このうち約413万件には会員のログインパスワードが含まれる。

　流出または流出したおそれのある情報は、氏名（パスポート表記を含む）や生年月日、メールアドレス、電話番号、郵便番号・住所、振り込み時の依頼人名義など。パスワードはハッシュ化した状態で保存されていたという。パスポート番号は流出していないことを確認したとしている。

　ただし、パスワードがハッシュ化されていても、解析によって元の文字列が判明する可能性はある。同社もパスワードが解析され、skyticketや同じパスワードを使い回している他サービスへの不正ログインに悪用されるリスクを指摘している。

返金先の口座情報や、バスの予約内容にも影響

　2件目は、skyticketの業務管理システムへの不正アクセスだ。2026年9月20日に発生し、同年9月28日に発覚した。原因は、業務管理システムの脆弱性を悪用されたことだという。

　対象は1万7780件で、重複を含む。他にも件数を調査中の情報がある。氏名や電話番号、返金先の金融機関名、支店名、口座種別、口座番号、口座名義などが流出した、または流出した恐れがある。一部にはメールアドレスや生年月日、住所も含まれる。パスポート番号については、現時点で流出の事実を確認していないものの、引き続き調査するとしている。

　3件目は、バス予約サービスの予約完了ページを巡る事案だ。2026年8月3日〜10月1日まで、ログインしなくても予約完了ページを表示できる状態になっており、第三者に機械的に閲覧されたという。この問題は同年10月1日に修正された。

　対象は約1万2000件の予約で、同行者を含めると影響する人数はさらに多くなる可能性がある。閲覧された、または閲覧されたおそれのある情報には、予約者の氏名や年齢、性別、生年月日、メールアドレス、電話番号、会員ID、支払い方法・金額、予約日時、乗車便の日時・乗降地・運行会社・便名・予約番号などが含まれる。同行者の氏名、年齢、性別も対象となる。

　同社は、クレジットカード番号とパスポート画像を保存しておらず、いずれの事案でもこれらの情報は流出していないとしている。クレジットカード情報は決済代行会社が保管している。

「情報が流出しただけ」では終わらない二次被害

　同社が懸念するのは、流出した情報を使った詐欺や不正ログインだ。

　氏名や連絡先などを把握した第三者が、同社や金融機関、航空会社、バス運行会社を装い、メールやSMS、電話、郵便物で接触してくる可能性がある。返金先の口座情報が悪用されれば、返金手続きを装って暗証番号やインターネットバンキングの認証情報を聞き出そうとする手口も考えられる。

　バスの予約情報や予約番号を把握した第三者が、予約変更やキャンセル、追加料金の支払いを求める連絡をしてくるリスクもある。実際の予約内容を織り交ぜた連絡は、一般的な不審メールよりも信じてしまう恐れがある。

　同社は、現時点で、業務管理システムへの不正アクセスに関連する会員1人への不正ログインを除き、情報の悪用による二次被害は確認していないとしている。ただし、今後の悪用リスクがなくなったわけではない。

保存済みカード決済を停止、会員にはパスワード変更を要請

　同社は不正アクセス経路を遮断し、脆弱性への対策を実施した。また、保存済みのクレジットカードを使った不正購入を防ぐため、2026年10月7日午後6時ごろ、保存済みカードによる支払いとカード情報の保存機能を停止した。

　対象者には電子メールで順次連絡している。個人情報保護委員会にも報告したという。

　同社は会員に対し、skyticketのパスワード変更を要請している。同じパスワードを他のサービスでも使っている場合は、そちらも変更するよう呼びかけた。併せて、マイページの予約履歴やクレジットカードの利用明細を確認し、身に覚えのない予約や利用があれば同社に連絡するよう求めている。

　不審なメールやSMS、電話などを受けた場合は、記載されたリンクや電話番号にアクセス・連絡しないことも重要だ。同社は、今回の件に関して返金や補償などを名目に金銭の支払いを求めることはなく、パスワードやカード番号、口座の暗証番号などを尋ねることもないとしている。

　今回の3件は、管理機能の不正操作を起点とするサーバ・クラウド上のデータへのアクセス、業務管理システムの脆弱性悪用、ログイン不要の予約ページを通じた情報閲覧と、それぞれ異なる経路で発生した。同社は引き続き調査を進め、新たな事実が判明した場合は公表するとしている。