【skyticket】旅行予約サイトに3件の不正アクセス、約1,464万件の氏名・住所などが流出、「skyticketプレミアム」の最大6,140名分のカード情報も（第2報）

公表：2026年10月8日（第1報）、10月9日（詳細の公表・約1,464万件）／続報：2026年10月13日（専用の問い合わせ窓口を開設）、10月16日（第2報：最大6,140名分のクレジットカード情報の流出を確認し、第1報を訂正）

3行でわかるポイント

1. 旅行予約サービス「skyticket」のサーバーの一部に外部から侵入され、会員情報が外部に流出しました。
2. 氏名・住所・電話番号に加え、銀行口座情報や、変換して保存されたログインパスワード（ハッシュ値）も含まれます。当初はクレジットカード情報は流出していないと説明されていましたが、10月16日の第2報で、「skyticketプレミアム」の古い決済記録から最大6,140名分のカード情報が流出したと訂正されました。
3. skyticketのパスワードと、同じパスワードを使っている他のサービスのパスワードを変更してください。

何が起きたか

運営会社のアドベンチャーは10月8日、管理するサーバーの一部に第三者による不正アクセスがあり、会員情報が流出したと公表しました。10月7日18時ごろには、念のため保存済みクレジットカードでの支払いとカード情報の保存機能を止めています。対象の人には10月8日から順次メールで連絡しています。件数は第1報では示されていません。

漏れた可能性のある情報

影響／原因

会社は不正アクセスの経路を遮断し、原因となった弱点（脆弱性）を修正したとしています。10月9日の発表で、経路の異なる3件の不正アクセスだったことと、それぞれの件数が明らかになりました（下の続報参照）。個人情報保護委員会へは報告済みです。

【続報 10月9日】3件の不正アクセス、最大は約1,464万件

アドベンチャーは10月9日、今回の件は経路の異なる3件の不正アクセスだったと公表しました。

1. サーバーへの不正アクセス（10月2日〜4日、10月5日に発覚）：skyticketの一部の管理機能を不正に操作され、別のサーバーやクラウド上のデータに入られました。対象は約1,464万件で、うち約413万件は会員のログインパスワード（ハッシュ化したもの）を含みます。流出したのは氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込時の依頼人名義、パスワード（ハッシュ値）です。パスポート番号は流出していないとしています。
2. 業務管理システムへの不正アクセス（9月20日、9月28日に発覚）：システムの弱点を悪用されたもので、対象は17,780件（重複を含み、ほかに調査中のものあり）。氏名、電話番号、返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）などが流出、または流出したおそれがあります。9月9日には会員1人のアカウントへの不正ログインも確認されています。
3. バス予約の情報の閲覧（8月3日〜10月1日）：バスの予約完了ページがログインなしで表示できる状態になっていて、機械的に閲覧されました。対象は約12,000件の予約（同行者を含むと人数はさらに多い）で、予約者の氏名（カナ）、年齢、電話番号、メールアドレス、乗車便の情報などが含まれます。10月1日に修正済みです。

3件の数字は数え方が違うため、足し合わせて人数とすることはできません。いずれの件でもクレジットカード情報とパスポートの画像は流出していないとしていました（カード情報は10月16日の第2報で一部訂正。下の続報参照）。返金や補償を名目に振り込みやアプリのインストールを求める連絡、予約の変更・キャンセルを装う連絡にも注意してください。

【続報 10月13日】

運営会社のアドベンチャーは、この件の専用問い合わせ窓口を開設しました。電話（03-5224-8859、平日11時～18時）とメール（info@skyticket.com）で受け付けています。あわせて、skyticketのマイページで予約履歴を確かめ、身に覚えのない予約や変更・キャンセルがあれば窓口に連絡するよう呼びかけています。件数などの新しい情報は、この時点では示されていません。

【続報 10月16日】第2報：「skyticketプレミアム」の最大6,140名分のクレジットカード情報が流出

アドベンチャーは10月16日の第2報で、その後の調査により、有料会員サービス「skyticketプレミアム」を使った一部の人のクレジットカード情報が流出したと発表し、「カード番号は流出した情報に含まれていない」とした第1報を訂正しました。

1. 対象：2017年2月から2018年6月までに、「skyticketプレミアム」の会費の支払いのためにクレジットカードを登録・利用した人（最大6,140名）。
2. 流出した情報：カード番号、カード名義人名、有効期限（一部の人はカード番号のみ）。セキュリティコードは含まれていません。
3. あわせて、会員特典の福利厚生サービス「ベネフィット・ステーション」を使うための会員ID・氏名・パスワードも流出しました。

原因は、2018年6月以前はカード情報を自社サーバーで保管していて、保管をやめる方式に移ったときにカード情報は削除したものの、会費の支払い記録（ログ）が消されずに残っていたことです。10月2日〜4日の不正アクセスで、10月3日にこのログが取得されました。カード情報やパスワードは暗号化されていましたが、暗号化に使う情報も取得されたため、読み取られるおそれがあるとしています。2018年7月以降の支払い・登録のカード情報は流出していません。会費以外の2018年6月以前の支払いについてカード情報が残っていないかは確認中です。

対象の人は、そのカード（更新してもカード番号が変わらない場合があります）の10月以降の利用明細を確認し、身に覚えのない請求はカード裏面の窓口に連絡してください。ベネフィット・ステーションを使っている人は、同サービスのパスワード（同じものを使っている他のサービスも）を変更するよう案内されています。

利用者が今すべきこと

1. skyticketのパスワードを変更してください。同じメールアドレスとパスワードを他のサービスで使っている場合は、そちらも変更しましょう。
2. マイページの予約履歴を確認し、身に覚えのない予約があれば窓口へ連絡してください。会社が取り消し、費用は利用者の負担にならないとしています。
3. 銀行口座の情報が含まれるため、口座の入出金に不審な動きがないか確認しましょう。
4. 会社からのメールは「info@skyticket.com」からのみ送られます。パスワード、カード番号、暗証番号をメール・SMS・電話で聞くことはないとしています。

私たちが学べること

旅行予約サービスは、払い戻し用の銀行口座など、お金に関わる情報を預かることがあります。使わなくなったサービスの口座情報や保存カードは、こまめに削除しておくと、もしもの時の被害を減らせます。

経過

出典

1. アドベンチャー「「skyticket」への不正アクセスによるお客様情報流出のお詫びとお知らせ（第1報）」（2026年10月8日）
2. セキュリティ対策Lab（10月8日）
3. アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年10月9日）
4. skyticket「【重要】skyticketよりお送りした「個人情報の流出に関するお知らせ」メールについて」（2026年10月9日）
5. アドベンチャー「不正アクセスによるお客様情報の流出に関する電話窓口開設のお知らせ」（2026年10月13日）
6. アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）」（2026年10月16日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。