skyticketで、最大6,140人分のクレジットカード情報が不正アクセスにより流出しました。対象は2017年2月から2018年6月までに「skyticketプレミアム」の会費をカードで支払った利用者です。会員特典の福利厚生サービス「ベネフィット・ステーション」の会員情報も流出しており、アドベンチャーは対象者への連絡と調査を進めています。
流出したカード情報と会員情報
カード情報の対象は最大6,140人分で、流出した項目はカード番号、名義人名、有効期限です。一部の利用者についてはカード番号のみが対象で、セキュリティコードは含まれていません。
ベネフィット・ステーションを利用するための会員ID、氏名、パスワードも流出しました。パスワードは暗号化されていましたが、暗号化に用いる情報も不正に取得され、読み取られるおそれがあるとされています。
暗号化は、鍵などの情報を使ってデータを読み取れない形に変え、対応する情報があれば元に戻せる仕組みです。暗号化されたデータと、復元に使う情報の両方が第三者に渡ると、元の内容を読み取られる可能性があります。パスワードのハッシュ化は暗号化と異なり、元のパスワードへ戻すための鍵を使わない一方向の変換です。
過去の決済ログがサーバーに残存
アドベンチャーは、2018年6月以前にはカード情報を自社サーバーに保管していました。カード情報を保管しない方式へ移行した際、保存していたカード情報は削除したものの、「skyticketプレミアム」の会費決済に関するログが残っていました。
不正アクセスは2026年10月2日から4日までに発生し、ログは10月3日に取得されたことが確認されています。カード情報そのものは暗号化されていましたが、暗号化に用いる情報も取得され、読み取られるおそれがあるとアドベンチャーは説明しています。
2018年7月以降は、決済代行会社に保存されたカード情報を呼び出して決済する方式に移行しています。この時期以降の支払い・登録に関するカード情報は流出していないとしています。一方、2018年6月以前の「skyticketプレミアム」以外の決済情報がサーバーに残っていないか、確認を続けています。
対象者への連絡と確認事項
アドベンチャーは、連絡先を確認できる対象者に、準備が整い次第、info@skyticket.comから個別にメールを送るとしています。メールやSMS、電話でカード番号、有効期限、セキュリティコード、パスワードを尋ねたり、メール内のリンクからカード情報の入力を求めたりすることはないとしています。
対象となる可能性がある人には、2026年10月以降のカード利用明細を確認するよう案内しています。カードを更新していても番号が変わらない場合があるため、更新後のカードも確認の対象です。身に覚えのない請求があれば、カード裏面の窓口に連絡するよう求めています。
九州経済産業局は、利用明細を毎月確認し、不明な請求があれば速やかにカード会社へ連絡して、支払い、利用停止、再発行について相談するよう案内しています。カード会社がメールやSMSで突然カード番号の入力を求めることはないとしており、入力してしまった場合はすぐにカード会社へ連絡するよう呼びかけています。
パスワード変更と調査の継続
ベネフィット・ステーションを現在利用している人には、同サービスのパスワード変更が案内されています。変更手続きの詳細は、ベネフィット・ワンと協議したうえで改めて知らせるとしています。
同じパスワードをほかのサービスでも使っている場合は、そちらも変更するようアドバンチャーは求めています。また、アドベンチャーやカード会社、ベネフィット・ステーションを装った不審なメール、SMS、電話への注意も呼びかけています。
アドベンチャーは決済代行会社とベネフィット・ワンに本件を報告し、ログを外部からアクセスできない状態にする隔離作業を進めています。個人情報保護委員会など関係機関にも報告しており、調査で新たな事実が判明した場合は公表するとしています。
