skyticket続報：サーバーから約1,464万件流出　3経路の被害と利用者対応

更新履歴：初稿は10月9日10時58分（日本時間）に確認した通知案内を掲載。同日21時10分確認の公式情報で対象件数・3つの経路・停止機能などを更新。10月10日17時06分確認の公式案内をもとに、メールサーバーの復旧と窓口混雑の継続を追記しました。

skyticketを運営するアドベンチャーは、2026年10月9日付の詳細発表で、異なる経路による3件の不正アクセスを説明しました。サーバーから約1,464万件が流出し、別に業務管理システムとバス予約情報へのアクセスも判明しています。件数の単位と、流出が確認された情報・おそれがある情報を分けて確認する必要があります。

3件の経路と対象範囲

1．サーバーへの不正アクセス：流出を確認

10月2～4日に発生し、5日に発覚。一部の管理機能を不正操作され、別のサーバーやクラウドのデータにもアクセスされました。対象は登録・入力された顧客情報約1,464万件で、氏名（パスポート表記を含む）、生年月日、メールアドレス・電話番号、郵便番号・住所、振込依頼人名義などです。パスワードのハッシュ値を含む約413万件は、この件数の内数です。この経路ではパスポート番号の流出はないと確認しています。

2．業務管理システム：流出または流出のおそれ

9月20日に脆弱性を悪用され、28日に発覚。17,780件は重複を含み、ほかにも件数を調査中の情報があります。氏名・電話番号・返金先口座の金融機関名、支店名、口座種別、口座番号、口座名義などが対象で、一部にはメールアドレス・生年月日68件、住所18件も含まれます。パスポート番号は流出を確認していませんが、調査が続いています。

3．バス予約：閲覧または閲覧のおそれ

8月3日～10月1日、ログインなしで表示できた予約完了ページが機械的に閲覧され、10月1日に発覚・修正されました。約12,000件は予約の数で、同行者を含む人数はこれを上回ります。予約者・同行者の氏名（予約者はカナ）や年齢・性別、予約者の連絡先・会員ID・登録がある場合の生年月日、端末の種類、支払方法・金額、予約日時、乗車便や予約番号などが対象です。

これらは対象の数え方や確定状況が異なるため、合計を「被害人数」として扱えません。クレジットカード番号とパスポート画像は同社で保存しておらず、3件とも流出していないと説明しています。以上の範囲は同社の詳細告知に基づきます。

利用者の対応と通知メール

同社はハッシュ値からパスワードが解析されるおそれも説明し、会員に、パスワードの変更、同じパスワードを使う他サービスでの変更、マイページの予約履歴とカード利用明細の確認を求めています。変更はメールのリンクからではなく、公式サイト・アプリから直接行ってください。

通知メールの公式案内では、10月8日19時ごろから順次送信し、銀行口座情報を含む旨とパスワード変更依頼の有無による4種類の件名を紹介しています。送信元は info@skyticket.com ですが、表示されたアドレスが一致するだけで安全とは判断せず、公式告知と照合してください。

保存済みカードでの支払いなどを停止

同社の対策として、不正購入を防ぐため、10月7日18時ごろから、保存済みカードでの支払いとカード情報の保存機能を停止しています。詳細発表に再開予定の記載はありません。

10月10日続報：メール送信は復旧、窓口混雑は継続

10月10日17時06分（日本時間）追記：同日付の公式復旧案内で、問い合わせ増加に伴うメールサーバー障害が復旧し、予約確認メールなどを通常どおり送信していると確認しました。公表日は10月10日ですが、復旧した具体的な時刻は記載されていません。

一方、電話がつながりにくい状況と、問い合わせメールへの返信の遅れは続いています。予約内容の確認・キャンセルはマイページの「予約確認」から24時間手続きできます。メール送信の復旧と、窓口の混雑解消は分けて確認してください。

同案内は、連絡の遅れに便乗した詐欺メール・SMS・電話にも注意を促しています。不審な連絡に書かれたリンクや電話番号を使わず、普段使う公式サイト・アプリから確認してください。今回の復旧案内には、情報流出調査の完了や保存済みカード決済の再開を示す記載はありません。

背景は国内外の不正アクセス事例の整理、別件の利用者対応はローソンの情報漏えいと注意点をご覧ください。