スカイチケットの情報漏えいは約1,464万件、3件の不正アクセスが判明

スカイチケットに不正アクセス3件、最多で約1,464万件の情報流出

スカイチケットで見つかった不正アクセスは経路の異なる3件で、最も多い1件が約1,464万件です。約1,464万件は3件を合わせた数ではありません。件数の数え方も3件で異なり、次のようになっています。

• 1件目：スカイチケットに登録・入力した顧客の件数
• 2件目：重複を含む件数
• 3件目：バス予約数

3件の発生時期と件数は次のとおりです。また、発覚した順に並べると2件目が最も早く、9月28日でした。

スカイチケットで判明した3件の不正アクセス（アドベンチャーの公表より）

対象	発生した時期	件数
1件目 当社サーバー	10月2日〜10月4日（10月5日に発覚）	約1,464万件
2件目 業務管理システム	9月20日（9月28日に発覚）	1万7,780件（重複を含む）
3件目 バス予約サービス	8月3日〜10月1日（10月1日に発覚）	予約 約1万2,000件

同じ週には、カラオケのビッグエコーを運営する第一興商も委託先からの情報漏えいの恐れを公表しています。経緯はビッグエコーで約872万件の情報漏えいの恐れ、委託先PCがマルウェア感染にまとめています。

不正アクセスで約1,464万件流出、ハッシュ化パスワード約413万件

1件目は件数が最も多く、スカイチケットに登録・入力した顧客の約1,464万件が流出しました。 第三者は10月2日から10月4日にかけて、スカイチケットにある管理機能の一部を不正に操作しました。管理機能とはサイトを運営する側が使う管理用の画面や機能のことで、第三者はその管理機能を経由して、アドベンチャーの他のサーバーとクラウドに保管していたデータへアクセスしています。

約1,464万件のうち、約413万件には会員のログインパスワードが含まれていました。パスワードはハッシュ化した状態で保存されていたとのこと。ハッシュ化とは、元の文字列に戻しにくい値へ変換して保存することです。ただ、解析によってパスワードが判明する恐れはあるとのこと。

業務管理システムの脆弱性で、返金先の口座情報も流出

アドベンチャーの公表によると、2件目では返金先の口座情報を含む1万7,780件が流出したか、流出した恐れがあります。 第三者が業務管理システムの脆弱性を悪用したのは9月20日で、アドベンチャーは9月28日に不正アクセスに気づきました。

対象には氏名と電話番号のほか、返金先の口座情報として金融機関名・支店名・口座種別・口座番号・口座名義が含まれます。1万7,780件は重複を含む数で、ほかにも件数が確定していない情報があるとのこと。

スカイチケットのバス予約はなぜ閲覧されたのか

3件目はバス予約の約1万2,000件で、予約完了ページがログインしなくても表示できる状態になっていました。 第三者は8月3日から10月1日にかけて、このページを機械的に閲覧していました。アドベンチャーは10月1日に気づき、同日に修正しています。

約1万2,000件は予約数です。同行者を含めると、対象の人数は予約数より多くなります。

スカイチケットの個人情報流出、クレジットカード情報も対象か

流出した情報は3件で異なります。クレジットカード情報は、10月9日の発表では流出していないとされていましたが、その後の調査で最大6,140人分の流出が判明しました（2026年10月17日にNHKなどが報道）。 中心になる情報は次のとおりです。

• 1件目：氏名や住所などの登録情報
• 2件目：返金先の口座情報
• 3件目：バスの予約内容

3件の流出情報を細かく並べると、以下のようになります。1件目は件数が最も多く、住所や振込人の名義まで含まれます。

3件それぞれで流出した、または閲覧された情報（アドベンチャーの公表より）

対象	主な情報
1件目（約1,464万件）	氏名（パスポート表記を含む）・生年月日・メールアドレス・電話番号・郵便番号と住所・振込人の名義・会員のログインパスワード（ハッシュ化した状態）
2件目（1万7,780件）	氏名・電話番号・返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）など。一部はメールアドレスと生年月日（68件）、住所（18件）も
3件目（予約 約1万2,000件）	予約者の氏名（カナ）・年齢・性別・生年月日（登録がある場合）・メールアドレス・電話番号・会員ID・支払方法と金額・予約日時・乗車便の情報、同行者の氏名・年齢・性別

アドベンチャーは10月9日の発表で、クレジットカード番号を自社で保存せずカード情報は決済代行会社が保管しているため、3件でカード番号が流出することはないとしていました。ところが、その後の調査で過去の記録が残っていたことが分かりました。2017年2月から2018年6月に有料会員の会費の支払いでカードを登録・利用した会員のうち最大6,140人分の、カード番号・名義・有効期限が流出しています。セキュリティコードは含まれないと報じられています（2026年10月17日にNHKなどが報道）。

パスポート番号の流出は確認されず、パスポート画像は保存していない

パスポートの画像はアドベンチャーが保存しておらず、3件とも流出していません。 1件目で流出した氏名にはパスポートと同じ表記も含まれますが、パスポート番号は流出していないことを確認したとのこと。

2件目については、パスポート番号が流出した事実は現時点では見つかっていません。アドベンチャーは流出がなかったかどうかを調べ続けています。

アドベンチャーは保存済みカードでの支払いを停止、個人情報保護委員会へ報告

アドベンチャーは不正アクセスの経路を遮断したうえで、10月7日18時ごろに保存済みクレジットカードでの支払いを止めました。 会員のアカウントに不正ログインされ、登録されたカードで勝手に買い物をされるのを防ぐためです。カード情報を新しく保存する機能も止め、脆弱性への対策も進めています。

対象の顧客には10月8日19時ごろからメールで順に連絡していて、送信元はinfo@skyticket.comです。連絡が届かない人には、公式のお知らせをもって個別連絡に代えるとのこと。個人情報保護委員会への報告も完了しました。

スカイチケットの不正ログインは会員1名、他の二次被害は確認されず

流出した情報が悪用された二次被害は、会員1名のアカウントへの不正ログインだけです。 この不正ログインは9月9日に確認されていて、2件目の不正アクセスとあわせて公表されました。他の二次被害は公表の時点で見つかっていません。ただ、アドベンチャーは今後起こりうる被害として、次の4つも公表しています。

• アドベンチャーや金融機関などを装った詐欺メール・SMS・電話
• 解析したパスワードを使った不正ログイン
• 返金を装って口座の暗証番号を聞き出す連絡
• 予約の変更や追加料金の支払いを求める連絡

スカイチケット会員はパスワード変更とフィッシングメールに注意

スカイチケットの会員はアドベンチャーから、パスワードを変更し、同じパスワードを使い回している他のサービスでも見直すよう求められています。 変更はメールのリンクから進まず、公式サイトか公式アプリから直接行います。アドベンチャーからの連絡メールには、パスワードの入力を求めるリンクを記載していないためです。

あわせて、マイページの予約履歴とクレジットカードの利用明細を確認し、アドベンチャーや金融機関を装った不審なメール・SMS・電話に注意するよう呼びかけています。アドベンチャーがパスワードやクレジットカード番号、口座の暗証番号を聞くことはなく、今回の件で顧客にお金の支払いを求めることはないとしています。

スカイチケットの問い合わせ先はinfo@skyticket.com

スカイチケットの情報流出についての問い合わせは、メールのinfo@skyticket.comで受け付けています。なお、10月8日のお知らせによると、info@skyticket.comの受付時間は毎日10:00〜18:00です。 アドベンチャーは電話の窓口を公表していません。

身に覚えのない予約があったときや、予約の変更・キャンセルを求める不審なメール・SMS・電話を受けたときは、この窓口へ連絡するようアドベンチャーが呼びかけています。アドベンチャーの調査は続いており、新しい事実がわかれば公表するとのこと。