原因公表 不正アクセス情報の漏えい不正利用

skyticketに3経路の不正アクセス、お客様情報最大約1,464万件が流出

このページの公開： ／ 最終更新： ／ 書いた人：インシデントレーダー編集部

この事件のまとめ

何が
株式会社アドベンチャーのskyticket（比較予約サイト）で、不正アクセス・情報の漏えい・不正利用。
いつ
2026年10月9日に公表（発生・発覚は2026年8月3日）。
原因
公表：ソフトウェアの脆弱性・設定のまちがい・公開範囲のまちがい。
影響
お客様の情報、約14,640,000件（漏えい確認）。

原因

原因公表 ソフトウェアの脆弱性設定のまちがい・公開範囲のまちがい

公式の発表での原因
それぞれ異なる経路による3件の不正アクセス。管理機能の不正操作から他サーバー・クラウド上のデータへの侵入、業務管理システムの脆弱性の悪用、バスの予約完了ページが未ログインでも閲覧できる状態だったことによる機械的な閲覧。
侵入の入り口
skyticketの管理機能／業務管理システムの脆弱性／バス予約完了ページ（複数経路）

影響

人数・件数
約14,640,000件（お客様）
注：約（3件のうち最大の1件、このうちログインパスワード含むものは約413万件）
情報の種類
氏名（パスポート表記含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込依頼人名義、ログインパスワード（ハッシュ化）、返金先口座情報、予約情報、同行者氏名
漏えい
漏えい確認
サービスの停止など
2026年10月7日18時ごろ、保存済みクレジットカードによる支払いとカード情報の保存機能を停止
二次被害
2026年9月9日、会員1名のアカウントへの不正ログインを確認

使っている人がすること

公式の発表で、利用者に呼びかけていることです。

  • パスワードの変更（他サービスで同じパスワードを使っている場合はそちらも変更）
  • マイページの予約履歴とクレジットカード利用明細の確認
  • 当社や金融機関などを装う不審なメール・SMS・電話・郵便物への注意
  • パスワード変更は公式サイト・公式アプリから直接行う

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

ソフトウェアの脆弱性

  • 使っているソフト・部品（CMS・プラグイン・ライブラリ・サーバーのソフト）と版を一覧にし、脆弱性の情報を定期的に照らし合わせる
  • 修正版が出たら更新する期限を、重さごとに決めておく（実際に悪用されている脆弱性は最優先）
  • 自社で作った画面は、SQL インジェクション・クロスサイト・スクリプティングなど代表的な脆弱性の対策が入っているかを確かめる
  • 使っていない機能・古い試作のページ・公開しなくてよい管理画面を外に出さない

根拠の資料：IPA「安全なウェブサイトの作り方」／JVN（Japan Vulnerability Notes）／OWASP ASVS（アプリケーションセキュリティ検証標準）

設定のまちがい・公開範囲のまちがい

  • クラウドの保存場所・共有のリンク・データベースが「誰から見えるか」を一覧にし、定期的に見直す
  • 初期の ID・パスワードや、試しのための設定のまま公開していないかを確かめる
  • 設定を変えるときは手順を決め、変えたあとに外から見えていないかを確かめる
  • エラーの画面に、内部の情報（ファイルの場所・設定の値）を出さない

根拠の資料：OWASP Top 10:2025「A02 Security Misconfiguration」／IPA「安全なウェブサイトの作り方」

経過

  1. バス予約完了ページの閲覧（未ログインで表示可能な状態）が始まる（〜10月1日） ［出典s1］

  2. 会員1名のアカウントへの不正ログインを確認 ［出典s1］

  3. 業務管理システムへの不正アクセスが発生 ［出典s1］

  4. 業務管理システムへの不正アクセスが発生 ［出典s3］

  5. 業務管理システムへの不正アクセスが発覚 ［出典s1］

  6. 業務管理システムへの不正アクセスが発覚 ［出典s3］

  7. バス予約完了ページの件が発覚、同日修正 ［出典s1］

  8. バス予約サービスの予約情報が閲覧されていたことが判明 ［出典s3］

  9. 当社サーバーへの不正アクセスが発生（〜10月4日） ［出典s1］

  10. サーバーへの不正アクセスが発生（〜10月4日） ［出典s3］

  11. 当社サーバーへの不正アクセスが発覚 ［出典s1］

  12. サーバーへの不正アクセスが発覚 ［出典s3］

  13. 保存済みクレジットカードの決済・保存機能を停止 ［出典s1］

  14. 対象者へお詫びとパスワード変更依頼のメールを送信 ［出典s2］

  15. 3件の不正アクセスについて公表 ［出典s1］

  16. skyticketと株式会社アドベンチャー公式サイトで詳しい内容を公表 ［出典s3］

出典（公式の発表）

  1. ［s1］株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年10月9日）
  2. ［s2］skyticket「【重要】skyticketよりお送りした『個人情報の流出に関するお知らせ』メールについて」（2026年10月9日）
  3. ［s3］株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年10月9日）

関連の報道

報道はリンクだけを置いています。このページの事実の根拠には使っていません。

この内容は2026年10月10日に公式の発表を確かめたものです。誤りに気づいたら訂正の申し出からお知らせください。

同じ原因の事件

ソフトウェアの脆弱性の事件をすべて見る → 設定のまちがい・公開範囲のまちがいの事件をすべて見る →