skyticketの侵害で1460万件の記録、410万件のパスワード、17,780件の銀行口座が流出

2026年10月9日、日本の比較予約サイトskyticketを運営するAdventure Inc.は、3つの別々の不正な経路を通じて顧客データが漏えいしたと発表した。最大のものは、10月2日から4日の間にskyticketの管理機能が操作され、他のサーバーやクラウドに保存されたデータに到達したもので、約1,464万件の顧客記録（パスポートに記載された氏名、生年月日、メールアドレス、電話番号、郵便住所、銀行振込の振込人名義）に影響し、そのうち約413万件には会員のハッシュ化されたログインパスワードが含まれていた。

2件目は9月20日に業務管理システムが悪用された脆弱性を突かれ、9月28日に発見された。返金用の銀行口座情報（銀行、支店、口座番号、口座名義）で、重複を含む17,780件の記録が該当した。3件目は、バス予約の完了ページがログインなしで閲覧可能で、8月3日から10月1日の間に機械的に閲覧され、同行者の氏名、年齢、性別を含む約12,000件の予約が露出した。同社は、自社では保存していないクレジットカード番号やパスポート画像は漏えいしていないことを確認した。

発見は9月28日、10月1日、10月5日とずれ込み、対応も同様だった。同社は10月7日18時に保存済みカードでの支払いを停止しカード保存機能を無効化し、10月8日約19時から影響を受けた顧客にメールを送り、10月9日に全文の通知を公開して、漏えいに乗じた偽の「返金」メッセージが届くことになると警告した。

約1,464万件の記録（うち413万件はハッシュ化されたパスワード）、17,780件の返金用銀行口座、約12,000件のバス予約、カード保存機能は停止された。

サーバーへの侵入は操作された管理機能から始まった。特権的な内部ツールが入口であり、公開されている店舗画面ではなかった。

返金用の銀行口座情報は、悪用可能な脆弱性を抱えた業務管理システムに置かれていた。最も危険な項目を抱える二次的なデータ保管場所だった。

バスの完了ページはログインを要求せずに予約データ全体を表示したため、一括閲覧に認証情報は一切不要だった。

悪用された管理機能、未修正の業務システム、ログインなしで閲覧可能なままの予約ページ。顧客データの補助的な保管場所はそれぞれが独自の攻撃対象面である。

Adventureは検知後にアクセス経路を遮断し、調査を継続し情報管理を強化していると述べている。日本の個人情報保護委員会は10月7日に大規模なデータ漏えいについて警告し、国家サイバーセキュリティ機関は10月9日、最近大規模な個人データ窃取が複数見られたと事業者に伝えた。同社は顧客に対し、真正な連絡先はinfo@skyticket.comのみであり、金銭、パスワード、暗証番号を決して求めないと伝えた。氏名、住所、バスの行程の漏えいが可能にするフィッシングの波を予期してのことである。罰金は発表されていない。