旅行予約サイト「スカイチケット（skyticket）」を運営するアドベンチャー（東証グロース、証券コード6030）は10月16日、不正アクセス事案の第2報を公表し、有料会員サービス「skyticket プレミアム」の一部利用者、最大6,140名分のクレジットカード情報が流出したと明らかにした。10月9日の第1報では「クレジットカード情報は流出していない」としていたが、この記載は事実と異なっていたとして訂正した。
事案の詳細
同社によると、流出が判明したのは10月15日。対象は、2017年2月から2018年6月までの間に、skyticket プレミアムの会費の支払いのためにクレジットカードを登録または利用した顧客で、最大6,140名とされる。
- クレジットカード情報：カード番号、カード名義人名、有効期限（一部の顧客はカード番号のみ）。セキュリティコードは含まれていない
- ベネフィット・ステーションの情報：skyticket プレミアムの会員特典である、ベネフィット・ワンの福利厚生サービス「ベネフィット・ステーション」を利用するための会員ID、氏名、パスワード
これらの情報は暗号化されていたが、暗号化に用いる情報も不正に取得されているため、読み取られるおそれがあるという。
原因：方式移行時に残った「変更履歴のログ」
スカイチケットは現在、カード情報を決済代行会社に保存し、同社サーバーには保管しない方式を取っている。しかし、この方式に移行する前の2018年6月以前は、カード情報を同社サーバーで保管していた。移行の際に保管していたカード情報は削除したものの、skyticket プレミアムの会費の支払いに関する情報の変更履歴（ログ）が削除されずにサーバーに残っており、その中にカード情報が含まれていた。
第1報で公表した10月2日から4日までの不正アクセスにより、10月3日にこのログが取得されたことが確認された。2018年7月以降の支払い・登録に関するカード情報は流出していない。一方、skyticket プレミアムの会費以外で、2018年6月以前の支払いに関するカード情報がサーバーに残っていないかは、現在確認を進めているとしている。
影響と背景
同社は第1報で、氏名や住所、ハッシュ化されたログインパスワードなど約1464万件の情報が流出した可能性を公表していた（第1報の記事）。今回の第2報で、カード情報が「流出していない」から「一部が流出した」へと訂正された。
「カード情報は持たない方式に移行済み」という説明は、多くのEC事業者が使うものだ。しかし今回のように、移行前のデータがログやバックアップ、変更履歴といった本来の保管場所以外に残っていると、そこが漏えいの対象になる。現時点で二次被害は確認されていないが、カードの不正利用、ベネフィット・ステーションや同じパスワードを使う他サービスへの不正ログイン、関係各社を装った詐欺メールのおそれがあるとしている。
同社は、決済代行会社を通じたカード会社への不正利用モニタリングの依頼、ベネフィット・ワンへの報告、当該ログの隔離、個人情報保護委員会への報告を行い、連絡先を確認できる対象者にはメールで個別に連絡するとしている。業績への影響は精査中。
対策・今後の展望（対象となり得る利用者向け）
- カードの利用明細を確認する：2017年2月〜2018年6月にskyticket プレミアムの会費をカードで支払った人は、そのカードの2026年10月以降の明細を確認する。カードを更新していても番号が変わっていない場合があるため、更新済みのカードも確認したい。
- 不安があればカード会社に相談する：身に覚えのない請求がある場合や再発行を検討する場合は、カード裏面の問い合わせ窓口に連絡する。
- ベネフィット・ステーションのパスワードを変更する：現在も利用している場合は変更し、同じパスワードを他のサービスで使っていればそちらも変更する。
- 関係各社を装う連絡に注意する：同社は、カード番号やパスワードを顧客に尋ねることはないとしている。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIの診断やインシデント対応でも、「本番のデータベースからは削除した」はずの個人情報やカード情報が、操作ログ、デバッグログ、古いバックアップ、移行作業時の一時ファイルに残っていた、という例は珍しくありません。データの保管方式を変えた時点で、古い情報がどこに複製されていたかまで追いきれていないことが原因です。
【平易な解説】金庫の中身は別の銀行に預け替えて空にしたものの、金庫の出し入れを記録したノートに、中身の控えがそのまま書き残されていた、という状況です。ノートごと持ち出されたうえに、暗号の解き方も一緒に盗まれていました。
【今週中にできること】カード情報や個人情報の保管方式を過去に変更した事業者は、旧方式時代のデータが、ログ、変更履歴、バックアップ、検証環境のコピーに残っていないかを確認してください。あわせて、暗号化に使う鍵が暗号化したデータと同じサーバーに置かれていないかも点検します。鍵とデータが一緒に盗まれれば、暗号化は意味をなさなくなります。
参照: アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）及び第1報の一部訂正について」（2026年10月16日）