「skyticket」運営の株式会社アドベンチャーに不正アクセス、顧客情報約1,464万件が流出

株式会社アドベンチャーは2026年10月9日、同社が運営する比較予約サイト「skyticket」などのシステムが第三者による不正アクセスを受け、顧客の個人情報が流出、または流出した可能性があると発表しました。

発表によると、今回の事案は、それぞれ経路の異なる3件の不正アクセスによって起きたものとのことです。1件目は同社のサーバーへの不正アクセスで、同年10月2日から4日にかけて発生し、5日に発覚しました。同社の一部の管理機能を不正に操作され、そこから他のサーバーやクラウド上に保管していたデータにまで不正にアクセスされたことが原因とされています。対象は「skyticket」に登録・入力した顧客の約1,464万件（うち会員のログインパスワードを含むものが約413万件）で、氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込時の依頼人名義、ハッシュ化された状態のログインパスワードが流出しました。なお、パスポート番号については、流出がないことを確認しているとのことです。

2件目は、業務管理システムの脆弱性を悪用された不正アクセスで、同年9月20日に発生し、9月28日に発覚しました。流出、または流出したおそれがあるのは1万7,780件（重複を含み、ほかに件数を調査中のものあり）で、氏名や電話番号、返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）などに加えて、一部の顧客についてはメールアドレスや生年月日（68件）、住所（18件）なども含まれています。なお、パスポート番号については、公表時点で流出の事実は確認されていないものの、引き続き確認が進められているとのことです。また、9月9日には、会員1名のアカウントへの不正ログインも確認されています。

3件目はバス予約サービスにおける予約情報の閲覧で、同年8月3日から10月1日にかけて発生し、同日に発覚しました。バスの予約完了ページがログインをしなくても表示できる状態になっており、第三者に機械的に閲覧されたことが原因です。対象は約1万2,000件の予約（同行者を含むと人数は増加）で、予約者の氏名（カナ）、年齢、性別、生年月日、メールアドレス、電話番号、会員ID、予約に使用された端末の種類、支払い方法・金額、予約日時、乗車便情報、同行者の氏名・年齢・性別等が閲覧、または閲覧されたおそれがあります。なお、同機能は同年10月1日に修正されました。

なお、同社ではクレジットカード番号やパスポートの画像は保存しておらず、いずれの件でもクレジットカード情報やパスポート画像の流出はないとしています。対応としては、不正アクセスの経路を遮断して脆弱性への対策を行ったうえで、10月7日18時ごろには、保存済みのクレジットカードでの支払いと、カード情報を保存する機能を停止しました。対象の顧客には順次メールで連絡しているほか、個人情報保護委員会にも報告しており、会員に向けては、パスワードの変更や、マイページでの予約履歴の確認などを呼びかけています。