skyticketへの3件の不正アクセスによる顧客情報の流出

事案の概要と確認状況

• 経路の異なる3件の不正アクセスを公表
• サーバー・クラウド上のデータへの不正アクセスで約1,464万件の情報が流出。第2報（10月16日）で、同じ不正アクセスにより「skyticketプレミアム」の一部の客のカード情報など（最大6,140人）も10月3日に取得されたと公表
• 業務管理システムの17,780件は流出した、または流出したおそれ
• バス予約完了ページがログインなしで表示でき、第三者に機械的に閲覧された。対象予約は閲覧または閲覧のおそれ
• 一部の件数とパスポート番号の流出有無を確認中。調査を継続。会費以外の2018年6月以前の支払いのカード情報がサーバーに残っていないかを確認中（第2報）
• 返金先の銀行口座情報を含む部分は外部に送信されたことを確認
• カード情報の一部と旅行保険の申込情報は外部への送信の痕跡は確認されていないが、可能性を否定できず流出したおそれ

発覚から公表までの経緯

発生時期

2026年8月3日 〜 2026年10月4日／（1）サーバー：2026年10月2日〜4日／（2）業務管理システム：2026年9月20日（別に9月9日に会員1名の不正ログイン）／（3）バス予約完了ページの閲覧：2026年8月3日〜10月1日

発覚・検知

2026年9月28日 〜 2026年10月5日／（2）は9月28日、（3）は10月1日、（1）は10月5日に発覚

1. 2026.10.30

   第3報：クラウドに残していたデータベースの複製の一部が読み取られ、返金先の銀行口座情報32,341件が流出（暗証番号は含まない）。カード情報の一部 約93.6万件（約41.4万人。うち12件は番号の全桁）と旅行保険の申込情報 約11.8万件（約11.9万人）が流出したおそれ。口座情報と保険の氏名は暗号化されずに保存されていた。第2報の「ベネフィット・ステーションの会員ID・氏名・パスワード」を「skyticketプレミアムの内部の会員ID・氏名」に訂正（訂正）

   この公表資料を見る（新しいタブで開く）
2. 2026.10.16

   第2報：10月2日〜4日のサーバーへの不正アクセスで、2017年2月〜2018年6月に「skyticketプレミアム」の会費の支払いでクレジットカードを登録・利用した最大6,140人のカード番号・名義・有効期限（セキュリティコードは含まない）と、ベネフィット・ステーションの会員ID・氏名・パスワードが流出したと公表（暗号化されていたが、読み取られるおそれ）。カード情報は流出していないとした第1報を訂正し、利用明細の確認とベネフィット・ステーションのパスワード変更を依頼

   この公表資料を見る（新しいタブで開く）
3. 2026.10.16

   第2報と第1報の一部訂正を適時開示。判明日は10月15日。決済代行会社を通じてカード会社に不正利用の監視を依頼し、業績への影響は精査中

   この公表資料を見る（新しいタブで開く）
4. 2026.10.13

   本件専用の電話窓口を開設（03-5224-8859、平日11:00〜18:00）。メール窓口（info@skyticket.com）とあわせて案内し、便乗した詐欺メールやSMSへの注意、予約履歴の確認、他社と同じパスワードの変更を改めて依頼

   この公表資料を見る（新しいタブで開く）
5. 2026.10.10

   メールサーバーの障害が復旧し、予約確認メールなどを通常どおり送信していると告知。電話・メールでの問い合わせは引き続き多く、電話がつながりにくく、メールの返信にも時間がかかっていると案内

   この公表資料を見る（新しいタブで開く）
6. 2026.10.09

   3件の不正アクセスの概要・件数・情報項目・対応を公表。10月7日18時ごろに保存済みカードでの支払いとカード情報保存機能を停止

   この公表資料を見る（新しいタブで開く）
7. 2026.10.09

   同内容を適時開示。業績への影響は精査中

   この公表資料を見る（新しいタブで開く）
8. 2026.10.09

   問い合わせの集中とメールサーバー障害で予約確認メール等が遅延・不達と告知し、便乗した詐欺連絡への注意を呼びかけ

   この公表資料を見る（新しいタブで開く）
9. 2026.10.08

   対象者へ「不正アクセスによるお客様情報流出のお詫びとパスワード変更のお願い」メールを送信し、正式なメールであると告知。詳細は翌日以降に公表と案内

   この公表資料を見る（新しいタブで開く）

規模と対象範囲

情報の種類と対象外の範囲

公表された情報の種類

• （1）氏名（パスポート表記を含む）・生年月日・メールアドレス・電話番号・郵便番号・住所・振込時の依頼人名義、会員のログインパスワード（ハッシュ化）
• （2）氏名・電話番号・返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）など。一部はメールアドレス・生年月日（68件）・住所（18件）も
• （3）予約者の氏名（カナ）・年齢・性別・生年月日（登録がある場合）・メールアドレス・電話番号・会員ID・端末の種類・支払方法と金額・予約日時・乗車便の情報（運行会社の予約番号を含む）、同行者の氏名・年齢・性別
• （1）のうち「skyticketプレミアム」の一部の客（2017年2月〜2018年6月に会費の支払いでカードを登録・利用）：クレジットカード番号・カード名義人名・有効期限（一部はカード番号のみ。セキュリティコードは含まない）（第3報で、第2報の「ベネフィット・ステーションの会員ID・氏名・パスワード」は「skyticketプレミアム」の内部の会員ID・氏名の誤りと訂正）
• （第3報・流出）返金先の銀行口座情報：金融機関名・口座種別・口座番号・口座名義（カナ）
• （第3報・流出のおそれ）クレジットカード情報の一部：カード名義、一部を伏せ字にしたカード番号（下4桁のみ、または先頭6桁と下4桁）、ブラウザの情報。うち12件はカード番号の全桁
• （第3報・流出のおそれ）旅行保険の申込情報：契約者の氏名（カナ）・生年月日・性別・携帯電話番号・メールアドレス・会員ID・予約内容（便名・搭乗日・区間・旅行代金）、被保険者の氏名（カナ）・生年月日・性別

対象外・未確認と公表された範囲

• パスポートの画像は保存しておらず、いずれの案件でも流出していないと公表。クレジットカード情報は、カード情報を保管しない方式に移った2018年7月以降の支払い・登録分は流出していないと公表（第1報の「カード情報は流出していない」は第2報で訂正）
• （1）ではパスポート番号は流出していないことを確認と公表（（2）は確認継続中）
• 流出したカード情報にセキュリティコードは含まれていないと公表
• 第3報の返金先の口座情報には、氏名（漢字）・住所・メールアドレス・電話番号・暗証番号・インターネットバンキングのID・パスワードは含まれない
• 第3報のカード情報の一部には、カード番号の全桁（12件を除く）・有効期限・セキュリティコードは含まれず、これだけで決済に使われることはないと考えていると公表