---
title: "スカイチケット3件の不正アクセス。約1464万件と「カード番号は流出していない」の読み方"
description: "アドベンチャーの10月9日公式発表で、3事案の流出・おそれ、約1464万件と他事案の件数を区別。カード番号非保有でも保存済みカード払いを停止した対応と、会員へのパスワード変更依頼を整理"
url: https://itpostjp.com/security/skyticket-adventure-three-unauthorized-access-incidents/
category: "セキュリティ"
published_at: 2026-10-11T22:30:00Z
updated_at: 2026-10-12T00:04:04Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: claude-sonnet-5
terms: ["セキュリティインシデント", "パスワードハッシュ"]
---

# スカイチケット3件の不正アクセス。約1464万件と「カード番号は流出していない」の読み方

IT Post編集部 ＆ 編集長 千田智也

アドベンチャーの10月9日公式発表で、3事案の流出・おそれ、約1464万件と他事案の件数を区別。カード番号非保有でも保存済みカード払いを停止した対応と、会員へのパスワード変更依頼を整理

## 30秒で分かる結論

- 株式会社アドベンチャーは10月9日、異なる経路の3件について、情報の流出と流出・閲覧のおそれを事案別に公表しました。
- 最大規模のサーバー事案は対象約1,464万件で、約413万件にはハッシュ化パスワードを含みます。業務管理システムは17,780件（重複含む・他に調査中）、バスは約12,000予約で、合計を人数とは扱えません。
- 同社は会員へ公式サイト・アプリからのパスワード変更と予約履歴・カード明細の確認を依頼しています。カード番号非保有と、保存済みカードを使う不正購入への対応は別で、10月7日に保存済みカード払いを停止したと説明しています。

## まず初めに

格安チケットの比較画面は、条件を細かく読み分けてこそ役に立つ。今回の発表にも同じ読み方が要る。3件をまとめて一つの被害にし、「カード番号は流出していない」の一行で安全確認までチェックアウトしてしまうのは早い。IT Postでは、安さの比較表と同じくらい、事案ごとの項目と公式の対応を分けて読むべきだと考える。※個人の感想です

## 何が起きているのか

株式会社アドベンチャーは2026年10月9日、比較予約サイト「skyticket」で、それぞれ異なる経路による3件の不正アクセスを公表しました。公式発表は、情報が流出したものと、流出・閲覧のおそれがあるものを区別しています。

| 事案 | 発生・発覚 | 公表された対象件数と範囲 |
| --- | --- | --- |
| サーバーへの不正アクセス | 10月2日〜4日発生、10月5日発覚 | 約1,464万件。うちログインパスワードを含む約413万件。氏名（パスポート表記を含む）、生年月日、連絡先・住所、振込時の依頼人名義、ハッシュ化パスワードを流出情報として列挙 |
| 業務管理システム | 9月20日発生、9月28日発覚 | 17,780件（重複を含む。このほか件数調査中）。氏名、電話番号、返金先口座情報等の流出またはおそれ。一部にメールアドレス・生年月日（68件）、住所（18件）等も含む |
| バス予約完了ページ | 8月3日〜10月1日、10月1日発覚・修正 | 約12,000予約。同行者を含む人数はこれより多い。予約者・同行者の情報、乗車便・予約番号等が閲覧された、または閲覧されたおそれ |

第1事案は一部の管理機能を不正操作され、他のサーバーやクラウド上のデータへアクセスされたもの、第2事案は業務管理システムの脆弱性を悪用されたものと説明しています。第3事案は、ログインせずに表示できる状態の予約完了ページを第三者が機械的に閲覧したもので、10月1日に修正済みとしています。表の異なる単位・範囲を足して、重複を除いた人数に読み替えることはできません。

クレジットカード番号とパスポート画像は同社が保存しておらず、いずれの事案でも流出していないと説明しています。ただしパスポート番号は別です。第1事案では流出なしを確認した一方、第2事案では流出の事実は未確認で、流出がなかったか引き続き確認するとしています。

10月9日発表は、9月9日に確認した会員1名のアカウントへの不正ログインを除き、流出情報の悪用による二次被害は確認されていないと説明しています。「不正利用が一切ない」という記載ではありません。

また、保存済みカードを使ったskyticket上の不正購入を防ぐため、10月7日18時ごろをもって保存済みカードによる支払いとカード情報保存機能を停止したと説明しています。カード番号そのものが流出していないことと、アカウントに保存された支払手段の不正利用対策は別の論点です。

## なぜ重要なのか

3事案は、対象となる情報、件数の単位、確認状況が異なります。ハッシュ化パスワード、返金先の口座情報、バスの予約内容では、公式が示す注意事項も同じではありません。

決済情報が流出していないという説明だけで、ほかの項目やアカウントの安全性まで保証されたとは扱えません。同社の公式発表には、カード番号非保有の説明と、保存済みカードでの不正購入を防ぐ機能停止の説明が両方あります。

## 私たちへの影響

以下は、同社の10月9日公式案内に基づく確認事項です。

1. skyticket会員は、公式サイトまたは公式アプリから直接パスワードを変更してください。同じパスワードを使う他サービスについても変更するよう、同社は依頼しています。
2. マイページの予約履歴とクレジットカードの利用明細を確認してください。身に覚えのない予約や、バス予約の変更・キャンセルがあれば、公式のお問い合わせ窓口へ連絡するよう案内しています。
3. 返金・補償を名目に支払い、手数料、アプリのインストールを求める連絡には応じないでください。同社は本件で金銭の支払いを求めることはないと説明しています。
4. 不審な連絡にあるリンクや電話番号を使わず、公式案内の窓口から確認してください。口座に身に覚えのない入出金があれば、取引先の金融機関へ相談するよう同社は案内しています。

同社はメールで順次連絡し、届かない人には10月9日の告知を案内に代えるとしています。10月8日の先行告知でも、メール内のリンクからではなく公式サイト・アプリから手続きするよう説明しています。

## 初心者が知っておくべきこと

旅行予約サービスのような、個人情報を多く扱うサービスでは、ログイン機能や決済機能、問い合わせ管理など、複数の異なるシステムが組み合わさって動いています。今回のように、1つの企業で原因の異なる複数の不正アクセスが時期をずらして発覚することもあり、サービス全体の安全性は、どれか1つのシステムを守るだけでは確保できません。利用者としては、同じパスワードを複数のサービスで使い回さないことが、こうした事案の影響を小さくするための基本的な対策になります。

**Q. スカイチケットのパスワードはハッシュ化されていたから安心?**
A. 同社は、ハッシュ化していても解析でパスワードが判明し、不正ログインに悪用されるおそれがあると説明しています。公式案内は会員へパスワード変更を依頼しています。「ハッシュ化されているから変更不要」とは扱わず、公式サイト・アプリから直接手続きしてください。

## IT Postの見方――3件を束ねても、対策まで一枚の札にはできない

IT Postは、不正アクセスそのものをアドベンチャー1社の努力不足と断じるつもりはない。旅行予約サービスは扱うシステムの数が多く、どこから手をつけても完璧な防御は難しいという事情もあるだろう。

それでも、3件を一つの大きな数字にまとめてしまうと、読者に必要な確認事項が荷物の底へ沈む。カード番号非保有と保存済みカード払いの停止を別々に読むように、対象情報と対策を一組ずつ並べてほしい。IT Postでは、便利な比較画面だけでなく、事故の説明にも条件を読み分けられる作りを求めたいと考える。管理過失や3事案共通の原因まで、この発表だけで断定することはできない。※個人の感想です

## 今後どうなりそうか

アドベンチャーは、対象となる可能性のある利用者への連絡を順次進めるとしています。不正アクセスの詳しい侵入経路や、3件の事案に共通する原因の有無については、発表時点では明らかにされていません。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。

## 訂正履歴

- 2026-10-12T00:04:04Z: 10月9日の事案別公式発表と10月8日の案内を一次出典に追加しました。流出・流出または閲覧のおそれを区別し、件数の重複・追加調査・予約単位を明記しました。二次被害未確認には会員1名の不正ログインという例外があること、パスポート画像と番号は別であること、保存済みカードでの支払い停止と、会員への公式のパスワード変更依頼を補いました。

## 情報源

- [不正アクセスによるお客様情報の流出に関するお詫びとお知らせ](https://jp.adventurekk.com/news/apology-notice-unauthorized-access-data-leak/) — 株式会社アドベンチャー(公式)（一次情報）
- [【重要】当社よりお送りした「個人情報の流出に関するお知らせ」メールについて](https://jp.adventurekk.com/news/apology-unauthorized-access-data-leak/) — 株式会社アドベンチャー(公式)（一次情報）
- [スカイチケットで情報流出 不正アクセス1464万件 同名の函館の金券店「無関係」](https://www.hokkaido-np.co.jp/article/1387026/) — 北海道新聞
- [スカイチケット運営元に3件の不正アクセス、最大1,464万件の個人情報が対象か](https://rocket-boys.co.jp/?p=43123) — セキュリティ対策Lab

## この記事に出てくるIT用語

- [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。
- [パスワードハッシュ](https://itpostjp.com/terms/password-hash/): パスワードを元に戻せない形式に変換して保存する仕組みで、データベースが漏えいしてもパスワードそのものが読み取られるのを防ぎます。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/skyticket-adventure-three-unauthorized-access-incidents/