2026年10月9日、株式会社アドベンチャーは、同社が運営する比較予約サイト「skyticket」のシステムが不正アクセスを受け、お客様の個人情報が流出した、または流出したおそれがあると公表しました[1]。公表文では、経路の異なる3件の不正アクセスを挙げています。最も大きいものは約1,464万件で、このうち約413万件に会員のログインパスワード（ハッシュ化した状態のもの）が含まれるとしています[1]。当初はクレジットカード情報は流出していないとしていましたが、10月16日の第2報で、2017年2月から2018年6月に「skyticketプレミアム」の会費をカードで支払った最大6,140名分のカード番号・名義人名・有効期限（セキュリティコードは含まない）が流出したことが判明したと訂正しました[11]。パスポートの画像は流出していないとされていますが[1]、それで安心とは言い切れません。
「自分の名前やパスワードで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、漏れた情報が悪用されうる場面と、skyticketの中で特に狙われやすくなった場所を、公開情報から整理しました。
この記事の要点
- 名前・生年月日・住所まで正しく入った偽メール・偽SMS・偽の電話や郵便物が届きやすくなります。返金や補償を名目にした連絡にも注意が要ります。
- skyticketの会員は、パスワードを変えておくと安心です。同じパスワードを他のサービスで使っている人は、そちらも変えてください。
- 会社側がまず見直したいのは、パスワード再設定と予約確認で「名前とメールアドレス・電話番号」を本人の証しにしている所です。
なお、本記事は公表文や公式サイトの公開ページなど、公開情報だけをもとにしています。画面に入力して試すような調査はしていません。確認できなかった点は「確認できず」と書いています。
何が起きたか（要約）
公表文[1]によると、概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 事案1：サーバーへの不正アクセス | 10月2日〜4日に発生、10月5日に発覚。skyticketの一部の管理機能を不正に操作され、そこから他のサーバーとクラウド上のデータに不正にアクセスされたとしています |
| 事案1の件数と項目 | 約1,464万件（うちログインパスワードを含むもの約413万件）。氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込時の依頼人名義、ログインパスワード（ハッシュ化） |
| 事案2：業務管理システムへの不正アクセス | 9月20日に発生、9月28日に発覚。脆弱性を悪用されたとしています。17,780件（重複を含む・ほかに調査中のものあり）。氏名、電話番号、返金先の口座情報など |
| 事案3：バスの予約完了ページの閲覧 | 8月3日〜10月1日。ログインしなくても表示できる状態で、機械的に閲覧されたとしています（10月1日に修正）。約12,000予約。氏名（カナ）、生年月日（登録がある場合）、メールアドレス、電話番号、会員ID、乗車便の情報など |
| 流出していない情報 | パスポート番号（事案1）、パスポートの画像（3件とも）。カード情報は第2報で一部の流出に訂正（次の行） |
| 第2報（10月16日） | 「skyticketプレミアム」の会費をカードで支払った最大6,140名分のカード番号・名義人名・有効期限が流出（セキュリティコードは含まない）。2018年6月以前のほかの支払いのカード情報が残っていないかは確認中[11] |
| 二次被害 | 9月9日に会員1名のアカウントへの不正ログインを確認。それ以外の二次被害は確認されていないとしています |
| 対応 | 経路の遮断と脆弱性への対策。10月7日18時ごろ、保存済みクレジットカードでの支払いとカード情報の保存機能を停止 |
同社は10月8日19時ごろから、一部の利用者に「個人情報の流出に関するお知らせ」という件名のメールを順次送ったと案内し、変更はメール内のリンクからではなく、公式サイトか公式アプリから直接行うよう呼びかけています[2]。
漏れた情報で、何ができてしまうか
今回の特徴は、名前・生年月日・住所・電話番号といった「本人らしさ」を示す情報と、パスワードのハッシュ値が同時に対象になったことです。同社も、ハッシュ化したパスワードが解析で判明し、skyticketや同じパスワードを使う他のサービスで悪用されるおそれがあるとしています[1]。
| 漏れた情報 | 攻撃者にとっての使い道（一般的に考えられるもの） |
|---|---|
| メールアドレス＋パスワードのハッシュ値 | 短く単純なパスワードほど、解析で戻される可能性がある。戻されたものはskyticketや他のサービスへの「パスワードリスト攻撃」の材料になる |
| 氏名＋メールアドレス・電話番号 | 名前入りの、本物そっくりのメールやSMSを送れる。同社は、自社・金融機関・航空会社・バス会社を装う連絡のおそれを挙げています[1]。送り主を偽ったSMSが本物と同じ画面（スレッド）に並ぶ手口も知られています[10] |
| 生年月日＋住所 | 電話や書面で「ご本人確認のため」と言われた時、相手がすでに正しい情報を知っているため、本物だと信じやすくなる。住所や生年月日で本人確認をしている窓口では、なりすましの材料になる |
| 返金先の口座情報（事案2） | 同社は、口座番号だけで預金が引き出されるものではないとしつつ、返金を装って暗証番号やネットバンキングのID・パスワードを聞き出す連絡のおそれを挙げています[1] |
| 乗車便の情報（事案3） | 同社は、運行会社などを装って予約の変更・キャンセルや追加料金の支払いを求める連絡のおそれを挙げています[1] |
大事なのは、パスワード以外の多くが「知っていれば本人らしく見える情報」で、名前・生年月日・住所は本人が変えることがほぼできない点です。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。
このサービスで認証が使われる場所
公式サイトの公開ページ[3]〜[7]、アプリストアの説明[8]、公表文から確認できた範囲で、認証や本人確認が関わる場所を並べました。
| 場所 | 今の方式（公開情報で確認できた範囲） | 漏れた情報との関係 | 狙われやすさ |
|---|---|---|---|
| ログイン | 登録メールアドレス（会員ID）とパスワードで入る画面が表示されています[3][4]。パスワードは6〜32文字の半角英数字[4]。二段階認証の記載は確認できず | IDにあたるメールアドレスと、パスワードのハッシュ値が対象。解析されたパスワードや、使い回しのパスワードで入られる可能性がある | 高 |
| パスワード再設定 | 申請画面で、登録メールアドレスと氏名（ローマ字かカナ）を入力する形です[5]。その後の手順は確認できず | 申請に使う2つの項目は、どちらも今回の対象。メールで再設定を案内する形なら、偽の再設定メールも送りやすい | 高 |
| 予約確認（ログインなし） | 申込番号・申込者の氏名・電話番号またはメールアドレスで、会員・非会員を問わず予約内容を確認できるとしています[6]。アプリの説明でも、会員登録なしで予約できるとしています[8] | 3つのうち氏名と電話番号・メールアドレスは対象。申込番号が今回の対象に含まれるとは、公表文には書かれていません | 中 |
| 保存済みクレジットカードでの支払い | 10月7日18時ごろから停止中[1] | 同社は、不正ログインで保存カードを使われるのを防ぐためとしています。再開する時の確認方法は確認できず | 高（再開時） |
| ポイント | 会員がためたポイントを、100ポイント＝1米ドル相当として支払いに使えるとしています[7] | 乗っ取られると、ポイントを使われる可能性がある | 中 |
| 問い合わせ窓口での本人確認 | どの項目で本人確認しているかは公開されておらず、確認できず | もし氏名・生年月日・電話番号などが合えば本人と見なす運用なら、今回漏れたのはまさにその情報 | 要確認 |
※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。
会社がまず見直すとよい所（優先順）
公表文には、ログインやパスワード再設定の確認方法を変えるといった記載はありませんでした[1]。認証の観点からは、次の順で見直すことが考えられます。
- パスワード再設定と予約確認から、漏れた項目だけで先に進める形をなくす。再設定の申請は「メールアドレス＋氏名」、ログインなしの予約確認は「申込番号＋氏名＋電話番号かメールアドレス」です。
- ログインに、パスワード以外の確認をもう一つ足す。ハッシュ値が対象になった以上、パスワードを変えていない会員や、使い回している会員の入口は残ります。
- 保存済みカードでの支払いを再開する時に、追加の確認を入れる。
認証の観点から：「電話番号を知っている」と「その電話を持っている」は違う
ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は、もう多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。
SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[9]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。
当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。
今のログインやパスワード再設定の流れを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。
出典
- 株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年10月9日）（2026年10月12日取得）https://jp.adventurekk.com/news/apology-notice-unauthorized-access-data-leak/
- 株式会社アドベンチャー「【重要】当社よりお送りした『個人情報の流出に関するお知らせ』メールについて」（2026年10月8日）（2026年10月12日取得）https://jp.adventurekk.com/news/apology-unauthorized-access-data-leak/
- skyticket「skyticketプレミアム ログイン」（2026年10月12日取得）https://skyticket.jp/premium/login.php
- skyticket「プレミアム会員登録」（2026年10月12日取得）https://skyticket.jp/premium/user_regist.php
- skyticket「パスワード再設定申請」（2026年10月12日取得）https://skyticket.jp/user/remind.php
- skyticket「予約確認」（2026年10月12日取得）https://skyticket.jp/user/search.php
- skyticket「ポイントプログラム」（2026年10月12日取得）https://skyticket.jp/hot/lp/point/index.html
- App Store「スカイチケット 格安航空券・ホテル・レンタカーの予約アプリ」説明文（2026年10月12日取得）https://apps.apple.com/jp/app/id995125257
- NIST SP 800-63B Rev.4（2025年8月）§3.1.3.3（2026年10月12日取得）https://pages.nist.gov/800-63-4/sp800-63b.html
- ソフトバンク 送信元が偽装されたSMSに関するご注意（2020年3月4日掲載、2020年12月3日更新）（2026年10月12日取得）https://www.softbank.jp/mobile/info/personal/news/support/20200304a/
- 株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）」（2026年10月16日）（2026年10月19日取得）https://jp.adventurekk.com/news/news-2026-unauthorized-access-notice-2/
