航空券などの比較予約サイト「skyticket（スカイチケット）」を運営するアドベンチャー（東京都渋谷区、東証グロース）は10月16日、不正アクセスによる個人情報流出の第2報を東京証券取引所に適時開示し、10月9日の第1報にあった「クレジットカード情報は流出しておりません」との記載を訂正した。その後の調査で、有料会員サービス「skyticketプレミアム」を利用した最大6140人のカード番号などが流出していたことが分かった。同社は「第1報の内容を訂正することとなりましたことを、深くお詫び申し上げます」としている。

2017〜18年の会費支払いが対象　番号・名義・有効期限

第2報によると、流出が判明したのは10月15日。対象は、2017年2月から2018年6月までの間に「skyticketプレミアム」の会費を支払うためクレジットカードを登録または利用した客で、最大6140人にのぼる。流出したのはカード番号、カード名義人名、有効期限で、一部の客はカード番号だけだった。カード裏面などにある確認用のセキュリティコードは含まれていない。

これに加えて、プレミアム会員の特典として使えた福利厚生サービス「ベネフィット・ステーション」（ベネフィット・ワンが提供）の会員ID、氏名、パスワードも流出した。

これらの情報は暗号化して保存されていた。ただ、同社は「暗号化に用いる情報も不正に取得されているため、読み取られるおそれがございます」と説明している。暗号化したデータは、元に戻すための鍵となる情報があれば読める状態に戻せる。

現時点で、流出したカード情報などが悪用された二次被害は確認されていないという。同社が挙げるおそれは三つある。カード番号を使ったネット通販などでの不正利用、ベネフィット・ステーションのIDとパスワードを使った同サービスや同じパスワードを使う他サービスへの不正ログイン、そして同社やカード会社、ベネフィット・ワンを装った詐欺メールやSMS、電話だ。

消したはずのカード情報、変更履歴に残っていた

第1報で同社は、カード番号は自社で保存しておらず決済代行会社が保管していると説明していた。第2報はその前提が過去の一時期には当てはまらなかったことを明らかにした。

skyticketでは現在、カード払いの際に決済代行会社に保存された客のカード情報を呼び出して決済しており、自社サーバーにはカード情報を保管していない。しかし、この方式に移る前の2018年6月以前は、カード情報を自社サーバーで保管していた。移行の際に保管していたカード情報そのものは削除した。ところが、プレミアムの会費支払いに関する情報の変更履歴（ログ）が削除されずにサーバーに残っており、その中にカード情報が含まれていた。第1報で公表した10月2日から4日までの不正アクセスで、このログが10月3日に取得されていたことが確認された。

同社は2018年7月にカード情報を保管しない方式へ移っており、7月以降の支払い・登録に関するカード情報は流出していないとしている。一方、プレミアムの会費以外で2018年6月以前の支払いに関するカード情報がサーバーに残っていないかは「現在確認を進めており、判明次第お知らせいたします」としており、対象が広がる可能性は残っている。

個人情報保護法第22条は、事業者に対し、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めている。また、カード番号を扱う販売業者などには、割賦販売法第35条の16がカード番号の漏えいを防ぐなど適切な管理のための措置を講じる義務を課している。今回は本体のデータを消した後も、別の場所に写しが8年以上残っていた形だ。同じくカード情報の一部が漏れたNewsPicks、クレジットカード情報の一部36万2000件が漏えいのおそれでは、運営会社がカード番号の全体を自社に保存していないと説明していた。

第1報は3件の不正アクセス　約1464万件が流出

訂正の対象となった10月9日の第1報は、経路の異なる3件の不正アクセスを公表していた。最も規模が大きいのは自社サーバーへの不正アクセスで、10月2日から4日にかけて発生し、5日に発覚した。skyticketの一部の管理機能を不正に操作され、そこから他のサーバーやクラウド上に保管していたデータに入り込まれた。対象は登録・入力した客約1464万件で、うち約413万件は会員のログインパスワード（ハッシュ化したもの）を含む。今回カード情報の流出が見つかったのも、この不正アクセスによるものだ。

経路 発生 対象 主な情報
自社サーバー 10月2〜4日 約1464万件 氏名、生年月日、メールアドレス、電話番号、住所、パスワード（ハッシュ化）
業務管理システム 9月20日 1万7780件（重複含む） 氏名、電話番号、返金先の口座情報など
バス予約の完了ページ 8月3日〜10月1日 予約約1万2000件 氏名（カナ）、年齢、乗車便の情報など
skyticketの3件の不正アクセスの概要（第1報時点）

出典: アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年10月9日）

業務管理システムへの不正アクセスは、システムの脆弱性を悪用されたもので、返金先の金融機関名・支店名・口座番号・口座名義などが流出した、またはそのおそれがある。このほか件数を調査中のものがあるという。バス予約サービスでは、予約完了ページがログインしなくても表示できる状態になっており、第三者に機械的に閲覧された。10月1日に修正済みとしている。第1報はいずれの案件でもパスポート番号は流出していないとしていた。

同社は第1報の時点で、会員アカウントへの不正ログインで保存済みカードを使った不正購入が起きるのを防ぐため、10月7日午後6時ごろに保存済みカードでの支払いとカード情報の保存機能を停止していた。

明細の確認とパスワード変更を要請

第2報で同社は、対象の客に対し、該当カードの今年10月以降の利用明細を確認するよう求めた。カードを更新してもカード番号が変わらないことがあるため、更新した場合も確認するよう呼びかけている。身に覚えのない請求がある場合や再発行を検討する場合は、カード裏面に記載されたカード会社の窓口に相談するよう案内した。ベネフィット・ステーションを現在も使っている客には同サービスのパスワード変更を、同じパスワードを他のサービスで使っている場合はそちらの変更も求めた。同社からカード番号やパスワードを尋ねることはないとしている。

対応としては、決済代行会社に報告して同社を通じてカード会社に不正利用の監視を依頼したほか、ベネフィット・ワンにも報告した。問題のログは外部からアクセスできない状態にするため隔離作業を進めている。連絡先が確認できる対象者には順次メールで個別に連絡し、確認できない客にはウェブサイトでの公表をもって案内に代える。個人情報保護委員会と関係機関にも報告した。漏えい報告の制度と国の監督の実態は個人情報の漏えい報告、3年で4万8315件で整理している。

業績への影響は精査中で、開示すべき事項が判明すれば速やかに開示するとしている。問い合わせは、電話（03-5224-8859、平日午前10時〜午後6時）とメール（info@skyticket.com）で受け付けている。