skyticket プレミアム、サイバー攻撃で最大6,140人のクレジットカード情報が流出―旧決済ログが残存

旅行予約サイト「skyticket（スカイチケット）」を運営する株式会社アドベンチャー（証券コード6030）は2026年10月16日、不正アクセスによる顧客情報流出の第2報を公表し、有料会員サービス「skyticketプレミアム」の利用者最大6,140人のクレジットカード情報が流出したことを明らかにしました。カード番号、カード名義人名、有効期限が対象で、一部の利用者はカード番号のみです。セキュリティコードは含まれていません。

同社は10月9日の第1報で「クレジットカード情報は流出していない」と説明していましたが、調査の結果、2018年の決済システム移行後もサーバーに残っていた会費支払い情報の変更履歴ログが、10月3日に不正取得されていたことが分かりました。カード情報は暗号化されていたものの、暗号化に用いる情報も取得されており、読み取られるおそれがあります。

skyticketプレミアムのカード情報流出・第2報のサマリー

• 公表日：2026年10月16日。カード情報の流出が判明したのは10月15日。
• 対象：2017年2月～2018年6月に、skyticketプレミアムの会費支払いのためクレジットカードを登録または利用した顧客、最大6,140人。
• 流出した情報：カード番号、カード名義人名、有効期限。一部の顧客はカード番号のみ。セキュリティコードは対象外。
• 関連情報：会員特典「ベネフィット・ステーション」を利用するための会員ID、氏名、パスワードも流出。
• 原因：2018年7月の決済方式移行時に削除されなかった、会費支払い情報の変更履歴ログが残存。
• 不正アクセス：2026年10月2～4日の侵害のうち、10月3日に当該ログが取得されたことを確認。
• 暗号化：カード情報や関連情報は暗号化されていたが、暗号化に用いる情報も不正取得され、内容を読み取られるおそれがある。
• 二次被害：10月16日の発表時点で、今回流出したカード情報等の悪用は確認されていない。
• 利用者への案内：2026年10月以降のカード利用明細確認、ベネフィット・ステーション等のパスワード変更、不審なメール・SMS・電話への警戒を要請。

10月9日の「カード情報は流出していない」を訂正、最大6,140人が対象に

アドベンチャーは10月9日、skyticketで異なる経路から発生した3件の不正アクセスを公表しました。最も対象規模が大きいサーバーへの侵入事案では、顧客情報約1,464万件に影響し、約413万件にはログインパスワードのハッシュ値が含まれています。

第1報では、現在の決済方式を前提に、同社がカード番号を保存していないためカード情報の流出はないと説明していました。しかし、10月16日の第2報では、この説明を訂正。2018年6月以前のカード情報の一部が旧ログに残っており、第三者に取得されていたと公表しました。

今回判明した最大6,140人は、10月2～4日の同じサーバー侵入事案に関連するカード情報の対象者数です。既報の「約1,464万件」と単純に合計し、新たな被害人数とすることはできません。最初の事案とは別に公表された業務管理システムへの侵入や、バス予約情報の閲覧とは、発生経路を区別する必要があります。

3件の概要や最初に公表された情報項目は、セキュリティ対策Labのskyticket不正アクセス・約1,464万件の情報流出に関する記事で整理しています。なお、この既報にある「カード情報は流出していない」との記述は、第2報に合わせて訂正する必要があります。

2018年に削除したはずのカード情報、変更履歴ログがサーバーに残存

同社によると、skyticketは2018年7月、カード情報を自社サーバーに保存せず、決済代行会社が保管するカード情報を呼び出して決済する方式へ移行しました。その際、従来保管していたカード情報そのものは削除しましたが、「skyticketプレミアム」の会費支払い情報の変更履歴ログは削除されず、サーバー内に残っていました。

今回の調査で、このログにカード情報が含まれていたことが判明。10月2～4日の不正アクセスで、10月3日にログが取得されたと確認されました。カード番号などは暗号化されていた一方、暗号化に用いる情報も取得されているため、同社は情報を読み取られる危険性を説明しています。

2018年7月以降に登録・支払いされたカード情報については流出していないとしています。一方、2018年6月以前に「skyticketプレミアム」の会費以外の支払いで利用されたカード情報が残っていないかは引き続き調査中です。したがって、今回判明した6,140人が、調査全体で確認され得るカード情報の最終的な上限と確定したわけではありません。

ベネフィット・ステーションの会員IDとパスワードも流出

カード情報とともに、skyticketプレミアムの会員特典として提供される「ベネフィット・ステーション」（ベネフィット・ワン）の会員ID、氏名、パスワードも流出しています。これらも暗号化されていましたが、暗号化に用いる情報が第三者に取得されており、読み取られるおそれがあります。

アドベンチャーはベネフィット・ワンへ連絡し、現在も利用している会員にパスワード変更を求めています。変更方法は同社と協議のうえ改めて案内するとしています。同じパスワードを別サービスでも利用している場合は、そちらも変更の対象です。

今回のベネフィット・ステーションの認証情報と、10月9日の第1報で公表されたskyticket会員の「ハッシュ化されたログインパスワード約413万件」は別の情報項目です。双方の対象者数を同一視することはできません。

対象者が確認したいカード明細と不審な請求への対応

アドベンチャーは、2017年2月～2018年6月にskyticketプレミアムの会費をカードで支払うために登録・利用した顧客に対し、2026年10月以降のカード利用明細を確認するよう呼びかけています。カードを更新していても番号が変わっていない場合があるため、過去に利用したカードの現在の状態も確認してください。

身に覚えのない少額決済を含む不審な請求があれば、カード裏面やカード発行会社の公式サイトに記載された窓口へ連絡してください。カードの再発行が必要か不安な場合も、カード発行会社に相談できます。セキュリティコードが含まれないと発表されていても、カード情報の悪用リスクがなくなったことを意味するものではありません。

また、skyticket、カード会社、ベネフィット・ステーションを装い、「カード交換」「被害補償」「本人確認」などを名目に情報を入力させるフィッシングメール・SMS・電話が届くおそれがあります。アドベンチャーは、メール・SMS・電話でカード番号、有効期限、セキュリティコード、パスワードを聞き出したり、メールのリンクからカード情報入力を求めたりすることはないと案内しています。受信した連絡のリンクをそのまま開かず、公式サイトやカード発行会社の窓口を自分で確認することが適切です。

決済代行会社へ監視を依頼、対象者へ個別通知

アドベンチャーは、決済代行会社を通じてカード会社に不正利用の監視を依頼し、ベネフィット・ワンにも報告しました。また、当該ログを外部からアクセスできない状態とする隔離作業を進め、個人情報保護委員会などの関係機関にも報告しています。

連絡先を把握している対象者には順次メールで個別通知し、連絡先が確認できない場合はWebサイトでの公表を案内に代えるとしています。対象者は、通知の有無だけで被害対象かどうかを即断しないよう注意してください。

問い合わせ窓口は電話03-5224-8859（平日10時～18時）、利用者向けメールは[email protected]です。公式発表には、今後新たな事実が判明した場合は追加公表すると記載されています。

情報システム部門が確認したい旧データと暗号化情報の管理

今回明らかになったのは、現行の決済処理ではカード情報を自社保管しない方式に変えていても、旧システムの変更履歴ログに機微なデータが残存し得るという問題です。

システム移行の際には、本番データベースだけでなく、変更履歴、監査ログ、バックアップ、検証環境、連携ファイルなどについて保存情報と保持期限を確認する必要があります。データを暗号化していても、復号に利用可能な情報が同じ侵害範囲で取得されれば、保護効果が失われるおそれがあります。

今回の侵入方法や暗号化方式の詳細について、同社が公表していない事項を特定の脆弱性・製品に結び付けることはできません。

出典

• 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）及び第1報の一部訂正について（2026年10月16日）―株式会社アドベンチャー・適時開示
• 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）―株式会社アドベンチャー
• 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（2026年10月9日・第1報）―株式会社アドベンチャー・適時開示