skyticket の不正アクセス（2026年10月）

経緯

入り口（経路）

経路の違う3件。サーバーへの不正アクセス：skyticket の一部の管理機能を不正に操作され、そこからほかのサーバーとクラウドに保管していたデータに入られた。業務管理システムへの不正アクセス：業務管理システムの脆弱性を突かれた。バス予約の閲覧：バスの予約完了ページがログインしなくても表示できる状態になっていて、第三者に機械的に閲覧された

起きた期間

サーバーへの不正アクセス：2026-10-02〜2026-10-04（クレジットカードの情報を含む記録は 2026-10-03 に取られた）。業務管理システムへの不正アクセス：2026-09-20。バス予約の閲覧：2026-08-03〜2026-10-01

会社が気づいた日

2026-09-28（業務管理システム。サーバーは 2026-10-05、バス予約の閲覧は 2026-10-01）

漏れた、または漏れたおそれのある情報

個人情報

サーバーへの不正アクセス：氏名（パスポートの表記を含む）・生年月日・メールアドレス・電話番号・郵便番号と住所・振り込みの依頼人の名義

認証情報

サーバーへの不正アクセス：会員のログインパスワード（ハッシュ化したもの）

取引の情報

サーバーへの不正アクセス（2026-10-16 の第2報で分かった）：2017年2月〜2018年6月に「skyticketプレミアム」の会費の支払いのために登録か利用したクレジットカードの番号・カードの名義・有効期限（一部の人はカード番号だけ）。サーバーに残っていた会費の支払いの記録（ログ）から取られた。暗号化していたが、暗号化に使う情報も取られたため、読み取られるおそれがある

認証情報

サーバーへの不正アクセス（2026-10-16 の第2報で分かった）：「skyticketプレミアム」の会員特典のベネフィット・ステーションを使うための会員ID・氏名・パスワード。暗号化していたが、暗号化に使う情報も取られたため、読み取られるおそれがある

個人情報

業務管理システムへの不正アクセス：氏名・電話番号など。一部の人はメールアドレス・生年月日（68件）、住所（18件）なども

取引の情報

業務管理システムへの不正アクセス：返金先の口座の情報（金融機関名・支店名・口座の種別・口座番号・口座名義）

個人情報

バス予約の閲覧：予約した人の氏名（カナ）・年齢・性別・生年月日（登録がある場合）・メールアドレス・電話番号・会員ID。同行者の氏名・年齢・性別

取引の情報

バス予約の閲覧：予約に使った端末の種類・支払いの方法と金額・予約の日時・乗る便の情報（日時・乗り降りの場所・運行会社・便名・運行会社の予約番号）

そのほか

含まれないもの：セキュリティコード。2018年7月以降の支払い・登録に関するカード情報（2018年7月に、カード情報を会社のサーバーに保管しない方式に移った）。パスポートの画像。パスポート番号（サーバーへの不正アクセスでは流出していないことを確認。業務管理システムへの不正アクセスでは、流出の事実は確認されていないが、流出がなかったかを引き続き確かめている）。第1報は「カード番号は流出した情報に含まれていない」としていたが、第2報で訂正した。2018年6月以前の、会費のほかの支払いに関するカード情報がサーバーに残っていないかは、確かめている

会社の対応

不正アクセスの経路を遮断し、脆弱性への対策をした。保存したクレジットカードでの不正な購入を防ぐため、2026-10-07 18時ごろから、保存したカードでの支払いとカード情報の保存の機能を止めた。バスの予約完了ページは 2026-10-01 に直した。対象の人に順にメールで連絡している（届かない人には発表が案内の代わり）。電話の問い合わせ窓口を開いた（2026-10-13 のお知らせ）。2026-10-16 の第2報で、次のことを知らせた。2018年6月以前はカード情報を会社のサーバーで保管していて、移行のときにカード情報は消したが、「skyticketプレミアム」の会費の支払いの記録（ログ）が消されずに残っていた。この記録が 2026-10-03 に取られたことを確かめた。決済代行会社と株式会社ベネフィット・ワンに報告した。この記録を外から入れない状態にするため、隔離の作業を進めている。連絡先が分かる対象の人には、準備ができ次第、順にメール（送り元 info@skyticket.com）で個別に連絡する（分からない人には発表が案内の代わり）。2018年6月以前の、会費のほかの支払いに関するカード情報がサーバーに残っていないかを確かめていて、分かり次第知らせる。2026-09-09 の会員1人のアカウントへの不正ログインのほかに、二次被害は現時点で確認されていない。調査を続ける

届け出

個人情報保護委員会と関係機関に報告した