スカイチケット3件の不正アクセス。約1464万件と「カード番号は流出していない」の読み方

まず初めに

格安チケットの比較画面は、条件を細かく読み分けてこそ役に立つ。今回の発表にも同じ読み方が要る。3件をまとめて一つの被害にし、「カード番号は流出していない」の一行で安全確認までチェックアウトしてしまうのは早い。IT Postでは、安さの比較表と同じくらい、事案ごとの項目と公式の対応を分けて読むべきだと考える。※個人の感想です

何が起きているのか

株式会社アドベンチャーは2026年10月9日、比較予約サイト「skyticket」で、それぞれ異なる経路による3件の不正アクセスを公表しました。公式発表は、情報が流出したものと、流出・閲覧のおそれがあるものを区別しています。

事案	発生・発覚	公表された対象件数と範囲
サーバーへの不正アクセス	10月2日〜4日発生、10月5日発覚	約1,464万件。うちログインパスワードを含む約413万件。氏名（パスポート表記を含む）、生年月日、連絡先・住所、振込時の依頼人名義、ハッシュ化パスワードを流出情報として列挙
業務管理システム	9月20日発生、9月28日発覚	17,780件（重複を含む。このほか件数調査中）。氏名、電話番号、返金先口座情報等の流出またはおそれ。一部にメールアドレス・生年月日（68件）、住所（18件）等も含む
バス予約完了ページ	8月3日〜10月1日、10月1日発覚・修正	約12,000予約。同行者を含む人数はこれより多い。予約者・同行者の情報、乗車便・予約番号等が閲覧された、または閲覧されたおそれ

第1事案は一部の管理機能を不正操作され、他のサーバーやクラウド上のデータへアクセスされたもの、第2事案は業務管理システムの脆弱性ぜいじゃくせいを悪用されたものと説明しています。第3事案は、ログインせずに表示できる状態の予約完了ページを第三者が機械的に閲覧したもので、10月1日に修正済みとしています。表の異なる単位・範囲を足して、重複を除いた人数に読み替えることはできません。

クレジットカード番号とパスポート画像は同社が保存しておらず、いずれの事案でも流出していないと説明しています。ただしパスポート番号は別です。第1事案では流出なしを確認した一方、第2事案では流出の事実は未確認で、流出がなかったか引き続き確認するとしています。

10月9日発表は、9月9日に確認した会員1名のアカウントへの不正ログインを除き、流出情報の悪用による二次被害は確認されていないと説明しています。「不正利用が一切ない」という記載ではありません。

また、保存済みカードを使ったskyticket上の不正購入を防ぐため、10月7日18時ごろをもって保存済みカードによる支払いとカード情報保存機能を停止したと説明しています。カード番号そのものが流出していないことと、アカウントに保存された支払手段の不正利用対策は別の論点です。

なぜ重要なのか

3事案は、対象となる情報、件数の単位、確認状況が異なります。ハッシュ化パスワード、返金先の口座情報、バスの予約内容では、公式が示す注意事項も同じではありません。

決済情報が流出していないという説明だけで、ほかの項目やアカウントの安全性まで保証されたとは扱えません。同社の公式発表には、カード番号非保有の説明と、保存済みカードでの不正購入を防ぐ機能停止の説明が両方あります。

私たちへの影響

以下は、同社の10月9日公式案内に基づく確認事項です。

1. skyticket会員は、公式サイトまたは公式アプリから直接パスワードを変更してください。同じパスワードを使う他サービスについても変更するよう、同社は依頼しています。
2. マイページの予約履歴とクレジットカードの利用明細を確認してください。身に覚えのない予約や、バス予約の変更・キャンセルがあれば、公式のお問い合わせ窓口へ連絡するよう案内しています。
3. 返金・補償を名目に支払い、手数料、アプリのインストールを求める連絡には応じないでください。同社は本件で金銭の支払いを求めることはないと説明しています。
4. 不審な連絡にあるリンクや電話番号を使わず、公式案内の窓口から確認してください。口座に身に覚えのない入出金があれば、取引先の金融機関へ相談するよう同社は案内しています。

同社はメールで順次連絡し、届かない人には10月9日の告知を案内に代えるとしています。10月8日の先行告知でも、メール内のリンクからではなく公式サイト・アプリから手続きするよう説明しています。

初心者が知っておくべきこと

旅行予約サービスのような、個人情報を多く扱うサービスでは、ログイン機能や決済機能、問い合わせ管理など、複数の異なるシステムが組み合わさって動いています。今回のように、1つの企業で原因の異なる複数の不正アクセスが時期をずらして発覚することもあり、サービス全体の安全性は、どれか1つのシステムを守るだけでは確保できません。利用者としては、同じパスワードを複数のサービスで使い回さないことが、こうした事案の影響を小さくするための基本的な対策になります。

Q. スカイチケットのパスワードはハッシュ化されていたから安心? A. 同社は、ハッシュ化していても解析でパスワードが判明し、不正ログインに悪用されるおそれがあると説明しています。公式案内は会員へパスワード変更を依頼しています。「ハッシュ化されているから変更不要」とは扱わず、公式サイト・アプリから直接手続きしてください。

IT Postの見方――3件を束ねても、対策まで一枚の札にはできない

IT Postは、不正アクセスそのものをアドベンチャー1社の努力不足と断じるつもりはない。旅行予約サービスは扱うシステムの数が多く、どこから手をつけても完璧な防御は難しいという事情もあるだろう。

それでも、3件を一つの大きな数字にまとめてしまうと、読者に必要な確認事項が荷物の底へ沈む。カード番号非保有と保存済みカード払いの停止を別々に読むように、対象情報と対策を一組ずつ並べてほしい。IT Postでは、便利な比較画面だけでなく、事故の説明にも条件を読み分けられる作りを求めたいと考える。管理過失や3事案共通の原因まで、この発表だけで断定することはできない。※個人の感想です

今後どうなりそうか

アドベンチャーは、対象となる可能性のある利用者への連絡を順次進めるとしています。不正アクセスの詳しい侵入経路や、3件の事案に共通する原因の有無については、発表時点では明らかにされていません。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。