skyticketサーバー侵害、約1,464万件流出と旧カード情報の追加判明（2026年）

何が起きたか

アドベンチャーは2026年10月9日、旅行予約サイト「skyticket」の一部管理機能が不正に操作され、他のサーバーやクラウド上のデータへアクセスされたと発表しました。10月2～4日のサーバー侵害で、顧客情報約1,464万件が流出しました。アドベンチャーの初報

10月16日の第2報では、同じ侵害で取得された旧決済ログに「skyticketプレミアム」のカード情報が残っていたと分かりました。初報で「カード番号は流出していない」と説明した点を訂正しています。別の日に新たなカード情報への攻撃があったという発表ではありません。アドベンチャーの第2報

被害と影響

初報で示された約1,464万件には、氏名、メールアドレス、電話番号、生年月日、住所などが含まれます。うち約413万件にはハッシュ化された会員ログインパスワードが含まれます。いずれも情報の件数であり人数ではありません。アドベンチャーの初報「1．事案の概要（1）」

第2報で追加されたカード情報の対象は、2017年2月～2018年6月にskyticketプレミアムの会費支払いでカードを登録・利用した最大6,140名です。カード番号、名義、有効期限が対象で、一部は番号のみです。セキュリティコードは含まれません。この2017～2018年は旧ログに含まれる支払情報の期間であり、2026年の攻撃がその間続いていた意味ではありません。アドベンチャーの第2報「1．流出した情報」「2．原因」

カード情報は暗号化されていましたが、暗号化に用いる情報も不正取得されたため、内容を読み取られるおそれがあります。ベネフィット・ステーション利用用の会員ID、氏名、パスワードも流出し、同様に読み取られるおそれがあるとしています。一方、2018年7月以降のカード登録・支払いに関するカード情報は、この件では流出していないと説明しています。アドベンチャーの第2報

同社はskyticket会員にパスワード変更を求めています。また、対象期間にskyticketプレミアム会費にカードを使った人には2026年10月以降の明細確認を求め、身に覚えのない請求があればカード会社へ連絡するよう案内しています。ベネフィット・ステーションを現在も使う人にもパスワード変更を求めています。初報の利用者向け案内／第2報の対象者向け案内

出来事の時系列

時系列は初報と第2報に基づきます。

別の事象と調査中の点

10月9日の初報には、9月20日の業務管理システムへの別経路の侵害と、8月3日～10月1日のバス予約情報の閲覧も併記されています。本記事の約1,464万件と最大6,140名は、10月2～4日のサーバー侵害についての数字です。別の2件の対象数をここへ足していません。アドベンチャーの初報

第2報の時点では、skyticketプレミアム会費以外の2018年6月以前の決済ログにもカード情報が残っていないか調査中です。追加の対象があると現時点で確定したわけではありません。アドベンチャーの第2報「2．原因」

この事例から分かること

初報の「カード番号は流出していない」という説明は、残っていた旧決済ログの発見で訂正されました。速報時の対象範囲と後の確定範囲を見比べ、カード情報の最大6,140名と会員情報約1,464万件を異なる単位として扱う必要があります。アドベンチャーの第2報