概要

経路(1)：2026年10月2日〜4日、skyticketの一部の管理機能が不正に操作され、そこから他のサーバーやクラウド上のデータにアクセスされた（10月5日発覚）。登録・入力された顧客約1,464万件の氏名、生年月日、メールアドレス、電話番号、住所、振込時の依頼人名義、ハッシュ化ログインパスワード（約413万件）が流出した。経路(2)：9月20日、業務管理システムの脆弱性を悪用された不正アクセスがあった（9月28日発覚）。17,780件（重複を含む）の氏名、電話番号、返金先口座情報などが流出した、または流出したおそれがある。経路(3)：8月3日〜10月1日、バス予約完了ページがログインしなくても表示できる状態になっており、予約約12,000件が機械的に閲覧された。クレジットカード情報とパスポート画像は保存していないため流出していない。9月9日には会員1名のアカウントへの不正ログインが確認されている。

経緯

経緯情報は未登録です。

原因

経路の異なる3件の不正アクセス。(1) 管理機能が不正に操作され、他のサーバーやクラウド上のデータまで侵害が広がった。(2) 業務管理システムの脆弱性が悪用された。(3) バス予約完了ページが認証なしで表示できる状態になっていた。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

14,640,000

サービス停止

なし

金銭的被害

不明

対象システム

skyticket管理機能、社内サーバー・クラウドストレージ、業務管理システム、バス予約サービス

漏洩した情報

• 確認済み氏名（パスポート表記を含む）
• 確認済み生年月日
• 確認済みメールアドレス
• 確認済み電話番号
• 確認済み郵便番号・住所
• 確認済み振込時の依頼人名義
• 確認済みハッシュ化されたログインパスワード（約413万件）
• 可能性あり返金先口座情報（金融機関名、支店名、口座種別、口座番号、口座名義）
• 可能性ありバス予約情報（予約者・同行者の氏名、年齢、性別、会員ID、乗車便、支払方法と金額など）

顧客約1,464万件の個人情報が流出し、このうち約413万件にはハッシュ化パスワードが含まれる。ほかに返金先口座情報など17,780件、バス予約約12,000件が影響を受けた。二次被害は会員1名への不正ログインのみ確認されている。保存済みクレジットカードによる支払いは停止された。問い合わせの急増でメールサーバーに障害が発生した。

対応

10月1日にバス予約完了ページを修正した。10月7日に保存済みクレジットカードによる支払いとカード情報の保存機能を停止した。10月8日に第1報を公表し、対象者へのメール通知を開始した。10月9日には3つの経路に分けて公表し、適時開示も行った。10月13日に電話窓口を開設した。

• バス予約完了ページの修正
• 保存済みクレジットカードによる支払いとカード情報保存機能の停止
• 対象顧客へのメール通知
• パスワード変更の依頼
• 専用の電話窓口・メール窓口の開設

教訓・対策

• 管理機能の認可を強化し、そこから他システムへの横展開を防ぐ必要がある
• 業務システムの脆弱性管理を徹底する必要がある
• 予約完了ページなど個人情報を表示するページでは認証を必須にする必要がある
• 複数の侵害経路が並行していることを想定して調査・公表する必要がある

参考資料

1. 「skyticket」で確認された3つの不正アクセスについてまとめてみた
   piyolog公開日: 2026-10-16報道二次情報取得日: 2026-11-01
2. アドベンチャー運営のスカイチケットで返金先口座情報3万2,341件が流出
   サイバーセキュリティ.com公開日: 2026-10-28報道二次情報取得日: 2026-11-01
3. スカイチケットで約1,464万件の個人情報流出 約413万件にパスワードのハッシュ値、変更を呼びかけ
   サイバーセキュリティ.com公開日: 2026-10-10報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

株式会社アドベンチャー

関連するインシデント

関連付けられたインシデントはありません。