スカイチケット1464万件 この3か月の流出を並べる

旅行予約サイト「skyticket（スカイチケット）」を運営するアドベンチャー（東京都渋谷区）が10月9日、不正アクセスで利用者の個人情報が流出した、または流出した恐れがあると発表した。最大で約1464万件。うち約413万件は、ログインに使うパスワードも入っている。

入口は3つあった。1つめは10月2日から4日。サイトの管理機能を外から動かされ、サーバーとクラウドのデータが抜かれた。氏名（パスポート表記を含む）、生年月日、住所、電話番号、振込の依頼人名義、それにハッシュ化したパスワード。これが約1464万件だ。2つめは9月20日、業務管理システムの脆弱性を突かれ、氏名や返金先の口座情報など1万7780件。3つめは8月3日から10月1日まで。バスの予約完了ページに、ログインせずにたどり着けた。約1万2000件。

大丈夫なのか

気になるのは、カードの番号だろう。クレジットカード番号とパスポートの画像は保存していないので、影響はないと会社は説明している。悪用が確認されたのは1件。9月9日、会員1人のアカウントに不正なログインがあった。ほかに悪用された事実は確認されていない、という。

では、利用者は何をすればいいのか。会社は10月7日18時ごろ、保存したカードでの支払いと、カード情報を預かる機能を止めた。8日19時ごろからは、対象者にメールを送りはじめた。送信元はinfo@skyticket.comで、本物だと会社も告知している。やることはパスワードの変更だ。

ところが、その変更ができない。セキュリティ対策Labが10月8日に確かめた画面では「サーバーで問題が発生しており、現在サービスをご利用いただけません」と出て、手続きが終わらなかった。会社は、メールのリンクを使わず、公式サイトかアプリから変えてほしいと呼びかけている。

この3か月に件数が出た、規模の大きい流出

5ちゃんねるのニュース板で目を引いたのは「今日はこれで3件目」という書き込みだ。7月以降に件数が出たもののうち、大きい順に6件を並べる。

Helpfeel「Gyazo」＝利用者のデータと画像のメタデータ、約2362万件（うちメールアドレスの登録は約562万件）。9月16日に公表、27日にサービス再開。

アドベンチャー「skyticket」＝氏名、住所、電話番号、ハッシュ化したパスワード、返金先の口座情報、約1464万件。10月9日に公表。カード決済を一部止め、パスワード変更を呼びかけ中。

KDDI（ISP事業者向けのメール基盤）＝メールアドレスとパスワード、1223万1954名（パスワードは761万6173名）。6月23日に公表、7月6日に人数を確定し、21日に訂正。

Eストアー「ショップサーブ」＝購入者の氏名と住所、会員のIDとパスワード、カード番号の一部、最大885万3839件。8月1日に公表、2日に件数を出した。

ムラウチドットコム＝氏名、住所、電話番号、メールアドレス、生年月日、性別、771万6811件。7月24日に公表、9月15日に件数を確定。

タイムズモビリティ「タイムズカー」＝氏名、住所、運転免許の情報、本人確認書類の画像、約660万アカウント。9月に公表、29日に画像が漏れたのは約160万件と発表。

東京商工リサーチの集計では、2026年に100万件以上が漏れた事案は、10月5日の時点ですでに10件。2025年の1年間の6件を超えている。