アドベンチャーが運営する「skyticket」で、異なる経路による3件の不正アクセスと予約情報の閲覧が判明しました。約1464万件の個人情報が流出し、業務管理システムへの不正アクセスに関連して会員1人の不正ログインも確認されています。

サーバーへの侵入で約1464万件が流出

1件目は、10月2日から4日にかけて同社サーバーで発生し、10月5日に発覚しました。一部の管理機能が不正に操作され、別のサーバーやクラウド上のデータにアクセスされたとアドベンチャーは説明しています。

対象は、skyticketに登録または入力した利用者の情報約1464万件です。氏名、生年月日、メールアドレス、電話番号、住所、振込時の依頼人名義などが含まれ、約413万件にはハッシュ化された会員パスワードも含まれます。

同社は、パスポート番号は流出していないとしています。また、クレジットカード番号とパスポート画像は保存しておらず、今回の3件で流出していないと公表しました。

業務管理システムと会員アカウント

2件目は業務管理システムの脆弱性を悪用したアクセスで、9月20日に発生し、9月28日に発覚しました。対象情報は重複を含む1万7780件で、氏名、電話番号、返金先口座の情報などが流出した、または流出したおそれがあります。

一部の利用者については、メールアドレスと生年月日が68件、住所が18件含まれます。パスポート番号について、同社は流出の有無を確認しています。

アドベンチャーは、9月9日に会員1人のアカウントへの不正ログインを確認しました。これは流出情報による二次被害とは別の事案です。同社は、この不正ログインを除き、情報の悪用による二次被害は確認していないとしています。

ハッシュ化されたパスワードの意味

ハッシュ化は、パスワードなどのデータを一方向性の計算で別の値に変換する処理です。暗号化のように鍵で元の文字列へ戻す方式とは異なり、ハッシュ値から元のパスワードをそのまま復元することはできません。

ただし、推測したパスワードをハッシュ化して流出した値と照合したり、既知のパスワードとハッシュ値の組み合わせを使って解析したりする方法があります。ソルトはハッシュ化の前にランダムなデータを加える方法です。同じパスワードでも異なるハッシュ値になり、既知の一覧を使った攻撃を難しくします。

アドベンチャーは、解析によってパスワードが判明し、skyticketや同じパスワードを使う他サービスへの不正ログインに悪用される可能性があると説明しています。同社は会員にパスワードの変更を求め、使い回している場合は他サービスのパスワードも変更するよう案内しています。

バス予約情報の閲覧と旅行関連の詐欺

3件目は、バスの予約完了ページをログインなしで表示できたため、第三者に予約情報を閲覧された事案です。8月3日から10月1日までの予約約1万2000件が対象となり、同社は10月1日に表示できないよう修正しました。

情報には予約者の氏名、連絡先、会員ID、支払方法や金額、予約日時、乗車便、運行会社の予約番号などが含まれます。同行者の氏名や年齢、性別も対象情報に含まれ、同行者を含む人数は予約件数を上回ります。

アドベンチャーは、予約内容や予約番号を知る第三者が、同社や運行会社を装って予約変更・キャンセルや追加料金を求める連絡をするおそれを挙げています。Kasperskyは、旅行予約を装う偽サイトによる認証情報の収集や、航空会社の予約番号を使った詐欺の事例を紹介しています。また、阪急交通社は第三者の個人情報を使ったなりすまし予約が発生しているとし、申込内容の確認や予約の取り消しなどの対応を案内しています。

アドベンチャーの対応と利用者への案内

同社は不正アクセスの経路を遮断し、脆弱性への対策を実施したとしています。また、保存済みカードを使った不正購入を防ぐため、10月7日午後6時ごろに保存済みカードでの支払いとカード情報の保存機能を停止しました。

同社は対象者にメールで順次連絡し、個人情報保護委員会にも報告しています。調査を続け、新たな事実が判明した場合は知らせる方針です。

同社は利用者に、skyticketのパスワード変更、他サービスで使い回しているパスワードの変更、予約履歴とカード利用明細の確認を呼びかけています。また、不審なメール、SMS、電話、郵便物に注意し、公式サイトやアプリから手続きするよう案内しています。