skyticketの不正アクセス3件、返金口座・会員情報・バス予約でやることが違う

2026年10月15日

この記事のポイント

いつ：10月9日に株式会社アドベンチャーが3件をまとめて公表。発生は9月20日と10月2日〜4日
何が：経路の違う3件。返金先口座の17,780件、会員情報などの約1,464万件、バス予約完了ページの約12,000件
報じられている項目：約1,464万件のうち約413万件にハッシュ化されたログインパスワード。氏名・生年月日・メールアドレス・電話番号・住所も対象項目に挙がっている
流出と保存の違い：パスポート番号は約1,464万件の漏えいで流出なし、カード番号とパスポート画像はそもそも保存なしとの説明
読者の次の一手：件ごとに違う。口座の明細確認、パスワードの変更、予約を装う連絡への警戒

10月9日に公表された3件は経路が別——返金先口座・会員情報・バス予約のどれを使ったかで仕分ける

公式のお知らせは、経路の異なる3件を同時に公表しています。表の「該当しうる人」から、当てはまる行をすべて探すと、どの件に当たりうるかが見えてきます。

該当しうる人	経路	対象件数	報じられている対象項目	時期・対応
返金を受ける口座を登録した人	業務管理システムの脆弱性を悪用	17,780件	返金先口座情報（金融機関名・口座番号・口座名義など）	9月20日に発生、9月28日に発覚
会員登録・予約・振込をした人	管理機能の一部が不正操作された	約1,464万件	氏名・生年月日・連絡先・住所・振込時の依頼人名義・ハッシュ化したログインパスワードなど	10月2日〜4日に発生、10月5日に発覚
バスを予約した人	予約完了ページがログインなしで閲覧できる状態	約12,000件	項目の内訳は確認できていない	10月1日に修正済み

3件は別々の経路なので、複数に当たる人もいます。いずれの件数も人数ではなく件数です。

件数は足せません。3件を合算した約1,467万件という数字も報じられていますが（ITmedia）、3件は定義が別で重複を含みうるため、合算値を規模として読むことはできません。公式の見出しである約1,464万件も会員数ではなく、登録または入力された個人情報の件数とされ、会員規模を示す数字は、確認できた範囲では見当たりません。

「流出していない」と「保存していない」も別の話です。パスポート番号は、約1,464万件の漏えいでは流出していないとされます。一方、カード番号とパスポート画像は、そもそも保存していないと説明されています。

カード番号とパスポート画像の側は、流出の有無ではなく手元にデータがないという意味に読めます（編集部の読み取り）。ほかの2件でのパスポート番号の扱いは、確認できた範囲では示されていません。

口座の明細確認、パスワードの変更、予約を装う連絡への警戒——件ごとに次の一手が違う

返金先口座の17,780件に当たりうる人は、返金や補償を名目にした連絡に応じないことが出発点です。確認できた範囲では、公式も返金や補償名目の振込要求に応じないよう呼びかけています。漏れた口座情報は返金を装う連絡の材料になりうるため（編集部の整理）、口座の入出金明細も一度見ておくと役立ちます。

約1,464万件に当たりうる人は、パスワードの変更が先です。公式の依頼もパスワード変更で、予約履歴とカード明細の確認も求めています。

バス予約の約12,000件は、予約完了ページがログインなしで閲覧できる状態だったもので、10月1日に修正済みです。確認できた範囲では、閲覧された項目の内訳は示されていません。項目を挙げる報道もありますが、公式の発表との対応は確認できていないため、予約を装う連絡への警戒が無難です（編集部の整理）。

約413万件のハッシュ化パスワード、対象項目に並ぶメールアドレス、変更時のエラー報告

ハッシュ化とは、パスワードを元に戻しにくい文字列へ変換して保管する方法です。約1,464万件のうち約413万件に、このハッシュ化されたログインパスワードが含まれます。

確認できた範囲では、公表は「ハッシュ化済み」までで、方式（bcryptやソルトの有無など）と強度は示されていません。解読されうるかは外から判断できないため、使い回し先を先に変えるのが現実的です。

報じられている対象項目にはメールアドレスが並び、うち約413万件にはハッシュ化パスワードも含まれます。同じ組み合わせを別のサービスで使っていれば、そちらが狙われる材料になりえます。この使い回しの構図は、氏名・住所・パスワードのハッシュ値が対象になったブックオフの会員管理システムの件とも共通します。

通知メールを受けてパスワードを変えようとしたところ、エラー画面が出たという報告も、一部の利用者から出ています（Rocket Boys）。全体の状況は分かっていません。エラーが続く場合は、問い合わせ窓口への連絡が次の手になります。

二次被害は、会員1名のアカウントへの不正ログインを除き確認されていません（10月9日時点・Internet Watch）。

個別通知メールは10月8日19時ごろから順次送信、偽メールの見分け方と問い合わせ窓口

対象者への個別通知メールは、10月8日19時ごろから順次送信されたとされます。確認できた範囲では、対象かどうかを調べる照会ページのような公式の経路は見当たらず、手がかりは個別通知メールです。ただし、3件それぞれについて、どの対象者にどう通知されるかは示されていません。この通知が正規のものであることは、公式が「個人情報の流出に関するお知らせ」メールについての案内で説明しているとされます。

見分け方は文面ではなく、同じ内容が公式サイトで確認できるかどうかです。パスワードの変更も、メール内のリンクではなく、公式サイトやアプリを自分で開いて行うよう勧める報道があります。公式も詐欺メール・電話への注意を呼びかけています。

氏名・生年月日・電話番号・住所が揃うと、予約内容や本名を知っているかのような詐欺メールやなりすまし電話の説得力が増します（編集部の整理）。注文内容と一致した「返金のご案内」が届いたアバハウスの事例のように、本物らしい連絡もありえます。

専用の問い合わせ窓口は10月13日に開設され、受付は毎日10:00〜18:00と報じられています（トラベルボイス）。10月10日には問い合わせ増加でメールサーバー障害が起きたと案内されており、復旧後も電話・メールが混み合っているとされます（公式）。

保存カード決済は10月7日18時ごろから停止、理由は不正購入の防止とされる

保存済みカードの決済とカード情報の保存機能は、10月7日18時ごろから停止されたと報じられています。カード番号の漏えいを理由にしたものではなく、不正ログインによる保存カードでの不正購入を防ぐための措置とされます（TRAICY）。

経路の遮断と原因となった脆弱性の修正は実施済みで、個人情報保護委員会にも報告済みとされます。

一方、確認できた範囲で示されていない点は次の2つです。公表されていないだけで、続報で示される可能性があります。

項目	示されていること	示されていないこと
侵入の技術的手口	管理機能の不正操作、業務管理システムの脆弱性	攻撃手法、脆弱性の識別番号
保存カード機能の再開	10月7日18時ごろからの停止	再開時期