skyticket ― 経路の違う3件の不正アクセスで情報流出

要点

発表された事実

旅行比較予約サイト「skyticket」を運営するアドベンチャー（東証グロース）は2026年10月9日、skyticketのシステムが第三者の不正アクセスを受け、顧客の個人情報が流出した、または流出したおそれがあると公表した。「それぞれ異なる経路による」3件の不正アクセスだという（アドベンチャーのお知らせ）。
（1）10月2日〜4日、skyticketの一部の管理機能を不正に操作され、そこから他のサーバーとクラウド上に保管していたデータにアクセスされた。10月5日に発覚。約1464万件が流出し、うち約413万件にはハッシュ化した会員のログインパスワードが含まれる（同）。
（2）9月20日、業務管理システムの脆弱性を悪用された。9月28日に発覚。返金先の口座情報などを含む1万7780件（重複を含む。ほかに件数を調査中のものあり）が流出した、またはそのおそれがある（同）。
（3）8月3日〜10月1日、バスの予約完了ページがログインしなくても表示できる状態で、第三者に機械的に閲覧された。10月1日に発覚・修正。約1万2000件の予約情報が閲覧された、またはそのおそれがある（同）。
クレジットカード番号とパスポート画像は保存しておらず、流出していない。保存済みカードでの支払いとカード情報の保存機能は10月7日18時ごろに停止した（同）。（【2026-10-17訂正】カード情報については第2報で訂正された。2018年6月以前の支払いに関するログに残っていたカード情報が流出した。下記の追記を参照）
【2026-10-17追記】アドベンチャーは10月16日、第2報で第1報の「クレジットカード情報は流出していない」を訂正した。2017年2月〜2018年6月に「skyticketプレミアム」の会費支払いでカードを登録・利用した最大6,140名のカード番号・名義人名・有効期限（一部はカード番号のみ。セキュリティコードは含まない）と、会員特典「ベネフィット・ステーション」用の会員ID・氏名・パスワードが流出した。判明日は10月15日（skyticket 第2報、適時開示PDF）。
【2026-10-17追記】原因は、2018年7月にカード情報を自社で保管しない方式へ移行した際、保管していたカード情報は削除したが、会費支払い情報の変更履歴（ログ）が削除されずにサーバーに残っていたこと。件(1)の10月2〜4日の不正アクセスのうち10月3日にこのログが取得された。カード情報は暗号化されていたが、暗号化に用いる情報も取得されたため読み取られるおそれがある（同）。

わかったこと

【2026-10-17】件(1)では、旧方式時代のログに残っていたクレジットカード情報（最大6,140名分）とベネフィット・ステーションの会員ID・パスワードも流出した。暗号化に用いる情報も取得されている。2018年7月以降のカード情報は流出していない。二次被害は確認されていない（skyticket 第2報）。
【2026-10-29】アドベンチャーは10月28日の第3報で、件(1)の10月2〜4日の不正アクセスで不正に取得された認証情報が悪用され、不要になった後も削除せずクラウド上に保管していたデータベースの複製（バックアップ）の一部が読み取られたと公表した。このうち返金先の銀行口座情報32,341件（2022年3月1日〜2024年5月に払戻し等のため登録された分。金融機関名・口座種別・口座番号・口座名義（カナ））は外部に送信されたことを確認した。漢字の氏名、住所、メールアドレス、電話番号、暗証番号、ネットバンキングのID・パスワードは含まれない（適時開示第3報（PDF））。
【2026-10-29】同じ複製に含まれていたクレジットカード情報の一部約93.6万件（約41.4万人。2021年5月頃〜2024年5月中旬頃の支払い。カード名義、下4桁のみまたは先頭6桁と下4桁を残して伏せたカード番号、ブラウザの情報）と、旅行保険の申込情報約11.8万件（約11.9万人。国内旅行保険は2023年9月〜2024年5月、キャンセル保険は2024年1月〜5月の申込分。契約者の氏名（カナ）・生年月日・性別・携帯電話番号・メールアドレス・会員ID・予約内容、被保険者の氏名（カナ）・生年月日・性別）は、外部送信の痕跡は確認されていないが、可能性を否定できず「流出したおそれ」があるとした。カード番号の全桁・有効期限・セキュリティコードは含まれないが、カード名義の欄にカード番号が入力されていた12件は番号が全桁で記録されていた（同）。
【2026-10-29】銀行口座情報と旅行保険の氏名の項目は、本来暗号化して保存すべきところ暗号化されていなかった。同社は悪用された認証情報の権限を削除して複製を読み取れない状態にし、保全後の調査完了後に削除する予定。全桁が記録されていた12件はカード会社に不正利用のモニタリングを依頼した。外部の専門調査会社によるフォレンジック調査は準備中としている。銀行口座情報とカード情報は連絡先と結び付けられないため、個別連絡ではなくウェブサイトでの公表で案内に代えるとし、旅行保険の契約者には後日通知を送る（同）。

わかっていないこと

（1）で不正に操作された「一部の管理機能」が何で、攻撃者がどうやってその機能を使えたのか（認証の突破か、認証情報の窃取か、脆弱性か）
（1）で管理機能から「他のサーバーおよびクラウド上」のデータに届いた経路（管理機能に保存されていた認証情報やキーが使われたのか）（【2026-10-17追記】第2報で、暗号化に用いる情報も不正に取得されたことは判明。どこに置かれていた情報かは未公表）（【2026-10-29追記】第3報で、不正に取得された認証情報がクラウド上のデータベースの複製の読み取りに使われたとした。どの認証情報がどこから取得されたかは未公表）
（2）で悪用された業務管理システムの脆弱性の種類と、9月28日の発覚後の対応が（1）を防げなかった理由
3件が同じ攻撃者によるものか
パスワードのハッシュ化の方式（ソルトの有無など）
（2）で件数を調査中としている情報の範囲と、パスポート番号の流出がなかったかの確認結果
【2026-10-17追記】「skyticketプレミアム」の会費以外で、2018年6月以前の支払いに関するカード情報がサーバーに残っていないか（確認中）（【2026-10-29追記】第3報で、2021年5月頃〜2024年5月中旬頃の支払いに関するカード情報の一部（伏せ字のカード番号など。12件は全桁）がバックアップに残っており、流出したおそれがあるとした）
【2026-10-29追記】フォレンジック調査の結果と、確定した被害の全容（第3報時点では調査会社への依頼を準備中）
【2026-10-17追記】第1報の時点で、旧方式時代のログがサーバーに残っていることを把握できていなかった理由

関係しそうな既知の手口

（考察）（3）の「ログインなしで表示できる予約完了ページを機械的に閲覧」は、URLに含まれる予約番号などを順に変えて他人のページを開く、認可の確認漏れ（IDOR／BOLA）とよく似た形をしている。個人情報保護委員会が10月7日に追加した「APIが悪用される事例」も、パラメータの書き換えで他のユーザーの情報を取得できた事例だとされる（piyologのまとめによる）。
（考察）（1）の「管理機能の不正操作」は、JPCERT/CCが10月8日の注意喚起で挙げた「本来画面操作では実行できない内部APIに対する攻撃」「他のシステムの侵害で窃取したAPIキーを使用する」と重なる可能性がある。本件が注意喚起の対象事例かはわからない。

概要

skyticketは、8月から10月にかけて別々の経路で3回不正アクセスを受けた。最も大きい10月2〜4日の件では、管理機能を足がかりに他のサーバーやクラウド上のデータまで取られ、約1464万件が流出した。
流出したのは氏名（パスポート表記を含む）・生年月日・連絡先・住所・振込依頼人名義と、約413万件分のハッシュ化パスワード。別の件では返金先の銀行口座情報、バスの乗車便情報も含まれる。
9月20日の侵入は9月28日に発覚していたが、その後の10月2日に別経路で大規模な流出が起きた。管理機能が何で、どう使われたかは公表されていない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-08-03（月）〜10-01（木）	バス予約サービスの予約完了ページが、ログインなしで表示できる状態で第三者に機械的に閲覧される（アドベンチャーのお知らせ、件(3)）
2026-09-09（水）	会員1名のアカウントへの不正ログインを確認（同、件(2)の項に記載）
2026-09-20（日）	skyticketの業務管理システムの脆弱性を悪用される（同、件(2)）
2026-09-28（月）	件(2)が発覚（同）
2026-10-01（木）	件(3)が発覚し、同日に修正（同）
2026-10-02（金）〜10-04（日）	skyticketの一部の管理機能が不正に操作され、他のサーバーとクラウド上のデータにアクセスされる（同、件(1)）
2026-10-03（土）	件(1)の不正アクセスの中で、「skyticketプレミアム」会費支払いの変更履歴（ログ）が取得される（アドベンチャー第2報）
2026-10-05（月）	件(1)が発覚（同）
2026-10-07（水）18時ごろ	保存済みクレジットカードでの支払いと、カード情報の保存機能を停止（同）
2026-10-08（木）19時ごろ	対象者への通知メールの送信を開始（ITmedia NEWS）
2026-10-09（金）	アドベンチャーが3件の不正アクセスを公表（適時開示）。個人情報保護委員会へ報告済み（同）
2026-10-15（木）	ログにクレジットカード情報が含まれ、流出したことが判明（アドベンチャー第2報）
2026-10-16（金）	第2報で最大6,140名のカード情報とベネフィット・ステーションの会員ID・氏名・パスワードの流出を公表し、第1報の「カード情報の流出なし」を訂正（skyticket 第2報、適時開示PDF）
2026-10-28（水）	第3報。不要なのに削除していなかったクラウド上のデータベース複製が、10月2〜4日の侵入で取得された認証情報で読み取られ、返金先の銀行口座情報32,341件の流出を確認。カード情報の一部約93.6万件と旅行保険の申込情報約11.8万件は流出のおそれ（適時開示第3報（PDF））

発表内容の整理

事実（10月9日のお知らせ）

件	期間・発覚	原因（発表どおり）	対象	流出した、またはそのおそれがある情報
(1) 当社サーバーへの不正アクセス	10月2日〜4日、発覚10月5日	skyticketの一部の管理機能を不正に操作され、そこから他のサーバーとクラウド上に保管していたデータにアクセスされた	skyticketに登録・入力した顧客約1464万件（うちログインパスワードを含むもの約413万件）	氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込時の依頼人名義、会員のログインパスワード（ハッシュ化した状態）。パスポート番号は流出していないことを確認
(2) 業務管理システムへの不正アクセス	9月20日、発覚9月28日	業務管理システムの脆弱性を悪用された	1万7780件（重複を含む。ほかに件数を調査中のものあり）	氏名、電話番号、返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）など。一部はメールアドレス・生年月日（68件）、住所（18件）も。パスポート番号は流出の事実を確認していないが引き続き確認中
(3) バス予約サービスの予約情報の閲覧	8月3日〜10月1日、発覚10月1日	予約完了ページがログインしなくても表示できる状態で、第三者に機械的に閲覧された（10月1日に修正）	予約約1万2000件（同行者を含むと人数はさらに多い）	予約者の氏名（カナ）・年齢・性別・生年月日（登録がある場合）・メールアドレス・電話番号・会員ID・予約に使った端末の種類・支払方法と金額・予約日時・乗車便の情報（日時・乗降地・運行会社・便名・運行会社の予約番号）、同行者の氏名・年齢・性別

クレジットカード情報は決済代行会社が保管しており、パスポート画像も保存していないため、いずれの件でも流出していない。（【2026-10-17訂正】第2報で、カード情報については訂正された。下の追記を参照）
二次被害は、件(2)の項に書かれた会員1名の不正ログインを除き確認されていない。
対応：不正アクセスの経路の遮断と脆弱性への対策、保存済みカードによる支払いとカード保存機能の停止（10月7日18時ごろ）、対象者へのメール連絡、個人情報保護委員会への報告。
ITmedia NEWSは、3件の合計の対象件数を約1467万件と報じている（ITmedia NEWS）。

考察

3件はアドベンチャー自身が「それぞれ異なる経路」と書いているとおり、性質がまったく違う。(3)は作りの問題（ログインなしで他人の予約ページが開けた）を2か月近く突かれたもの、(2)は特定のシステムの脆弱性、(1)は管理機能を足がかりに社内の別のサーバーやクラウドのデータ保管場所まで手が伸びたもので、被害の大きさも(1)が桁違いに大きい。

気になるのは順番だ。(2)の発覚は9月28日、(3)の発覚・修正は10月1日で、その直後の10月2日から(1)が始まっている。発表からは、9月末の時点でskyticketが繰り返し狙われていることはわかっていたはずだが、それでも管理機能の不正操作は止められなかったことになる。3件が同じ攻撃者によるものかは公表されておらず、9月末の対応で何を点検したのかもわからない。

(1)の「一部の管理機能を不正に操作され、そこから当社の他のサーバーおよびクラウド上に保管していたデータに不正にアクセス」という書き方からは、管理機能そのものから大量のデータが出たのではなく、管理機能で何かを実行できたことを足がかりに、別の場所にあるデータへ届いたと読める。管理機能の中にクラウドのデータ保管場所へアクセスするための認証情報やキーがあった、あるいは管理機能からサーバー上でコマンドを実行できた、といった形が考えられるが、どちらも推測で、発表には書かれていない。

保存済みカードによる支払いを止めたのは、ハッシュ化パスワードが解析されて会員アカウントが乗っ取られ、登録済みのカードで買い物をされることを防ぐためだと説明されている。カード番号自体は流出していなくても、アカウントが乗っ取られれば保存カードは使われうる、という判断だ。

【2026-10-17追記】事実（10月16日の第2報）

項目	内容
判明日	2026年10月15日
対象	2017年2月〜2018年6月に「skyticketプレミアム」の会費支払いのためにカードを登録・利用した顧客最大6,140名
流出した情報	クレジットカード番号、カード名義人名、有効期限（一部はカード番号のみ）。セキュリティコードは含まない。あわせてベネフィット・ステーション（ベネフィット・ワン提供）の会員ID・氏名・パスワード
原因	2018年6月以前はカード情報を自社サーバーで保管。2018年7月に決済代行会社で保管する方式へ移行した際、カード情報は削除したが、会費支払い情報の変更履歴（ログ）が残っていた。10月3日に件(1)の不正アクセスで取得された
暗号化	カード情報などは暗号化していたが、暗号化に用いる情報も不正に取得されたため、読み取られるおそれがある
対応	決済代行会社を通じてカード会社に不正利用のモニタリングを依頼、ベネフィット・ワンに報告、当該ログを外部からアクセスできない状態にする隔離作業、対象者へ info@skyticket.com から個別メール、個人情報保護委員会と関係機関に報告
二次被害	現時点で確認されていない
今後	会費以外の2018年6月以前の支払いに関するカード情報が残っていないか確認中。業績への影響は精査中

出典：skyticket 第2報、適時開示PDF、ITmedia NEWS

考察（2026-10-17追記）

第1報の「カード番号は保存しておらず流出していない」は、現在の決済の仕組みについては正しかったが、8年前の移行で消し残したログまでは確かめられていなかったことになる。カード情報そのものを消しても、変更履歴・監査ログ・バックアップに同じ値が写っていれば、「非保持化」は完了していない。暗号化の鍵（または鍵を導ける情報）が同じ侵入で取られた点は、Studioの事案（暗号化データが復号鍵ごと読み出された）と同じ構図で、暗号化が「データと鍵の置き場所が分かれていること」を前提にしか効かないことを示している。

関係しそうな既知の手口

事実（既知の知見）

JPCERT/CCは10月8日（9日更新）の注意喚起で、国内で相次ぐ不正アクセスに使われている攻撃類型として、標的ごとに既知の脆弱性を探して悪用を試みるもの（ケースA）、アプリの管理用APIへの不正なリクエスト（本来画面操作では実行できない内部APIへの攻撃、ユーザー権限の変更、他のシステムの侵害で窃取したAPIキーの使用など、ケースB）、公開Webサーバーからアクセスできるアプリケーションサーバー上へのWebシェル設置（ケースD）などを挙げている（JPCERT/CC）。
個人情報保護委員会が10月7日に改訂した注意喚起資料「WARNING」は、事例9「APIが悪用される事例」として、URLや会員IDなどのパラメータを書き換えることで他のユーザーのデータにアクセスできた、会員IDなどが連番で推測しやすかった、アクセス回数の制限がなかった、といった原因を挙げているという（piyologのまとめ）。

考察

件(3)は認可の確認漏れの典型に近い：「予約完了ページがログインしなくても表示できる」「機械的に閲覧された」という説明は、ページのURLに含まれる予約番号などの値を変えるだけで他人の予約が表示された状態を思わせる。乗車便の運行会社の予約番号まで含まれるので、閲覧した人は予約の変更やキャンセルを装う連絡ができる。アドベンチャーもこの悪用のおそれを挙げている。
件(1)は「管理機能が入口、データは別の場所」：JPCERT/CCのケースBが挙げる「本来画面操作では実行できない内部APIへの攻撃」や「窃取したAPIキーの使用」が、管理機能の不正操作の形として考えられる。もし管理機能のサーバーにクラウドの保管場所へアクセスできる強い権限のキーが置かれていたなら、1つの入口から全顧客データに届いた理由の説明になる。いずれも発表にはない推測である。

利用者・運用者がいまできること

事実（発表に基づく）

skyticketの会員はパスワードを変更する。同じパスワードを他のサービスで使っている場合は、そちらも変更する。変更は公式サイトか公式アプリから直接行う（アドベンチャーは、連絡メールにパスワード入力を求めるリンクは載せていないとしている）。
マイページの予約履歴とクレジットカードの利用明細を確認し、覚えのない予約があれば問い合わせ窓口（info@skyticket.com）に連絡する。
返金・補償を名目に振込や手数料、アプリのインストールを求める連絡には応じない。アドベンチャーが本件で金銭の支払いを求めることはないという。
口座情報が対象の人は、返金手続きを装って暗証番号やネットバンキングのID・パスワードを聞き出そうとする連絡に注意する。バス予約が対象の人は、予約の変更・キャンセルや追加料金を求める連絡に注意する。
【2026-10-17追記】2017年2月〜2018年6月に「skyticketプレミアム」の会費をカードで払った人は、そのカードの2026年10月以降の利用明細を確認する。カードを更新していても番号が変わらない場合がある。身に覚えのない請求はカード裏面の窓口に連絡する。ベネフィット・ステーションを今も使っている人は、同サービスのパスワードと、同じパスワードを使っている他サービスのパスワードを変更する（第2報）。

考察（利用者向け）

氏名がパスポート表記（ローマ字）で漏れているため、航空会社やホテルを名乗る英語・日本語のメールでも、本名入りで届くおそれがある。予約の確認は、メールのリンクではなく航空会社やskyticketのアプリから行う。
保存済みカードの支払いが止まっているため、今後skyticketで支払うときはカード情報を入力し直す必要がある。その画面への誘導を装ったメールにも注意する。

考察（運用者向け）

ログインが必要なはずのページ（予約完了・注文確認・マイページなど）が、ログインせずにURLだけで開けないかを確認する。開ける場合は、表示する前にそのデータが要求者のものかをサーバー側で確かめる。
管理機能をインターネットから使える状態にしているなら、アクセス元の制限と多要素認証を見直す。あわせて、管理機能のサーバーにクラウドのデータ保管場所へアクセスできるキーや認証情報が置かれていないか、置かれている場合は権限が必要最小限になっているかを確認する。
1件目の侵入を見つけた時点で、同じサービスの他の入口（管理機能、別サブシステム）も狙われている前提で点検範囲を広げる。本件では9月28日の発覚の4日後に別経路の大規模流出が起きている。

参考リンク

原文をGitHubで読む ↗