対象は「2017年2月〜2018年6月にプレミアム会費をカードで払った人」

アドベンチャーが公式サイトに掲載した「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）」によると、カード情報が流出したのは、2017年2月から2018年6月までの間に、会員サービス「skyticketプレミアム」の会費を払うためにクレジットカードを登録した人、または利用した人だ。人数は最大6140人にのぼる。

見分けるポイントは、時期と支払いの中身の2つになる。会社は、2018年7月以降の支払い・登録に関するカード情報は流出していないと説明している。一方、2018年6月以前のプレミアム会費以外の支払いについては、カード情報がサーバーに残っていないかを確認している最中で、結果は判明しだい知らせるとしている。

流出したのはカード番号・名義人名・有効期限、セキュリティコードは含まれず

流出したカード情報の項目は、カード番号、カード名義人名、有効期限の3つで、一部の人はカード番号だけだった。セキュリティコードは含まれていない。

区分	内容
対象	2017年2月〜2018年6月に「skyticketプレミアム」の会費支払いのためカードを登録・利用した人
人数	最大6140人
カード情報の項目	カード番号、カード名義人名、有効期限（一部はカード番号のみ）
含まれないもの	セキュリティコード
カード以外	ベネフィット・ステーションの会員ID、氏名、パスワード

会員特典「ベネフィット・ステーション」のIDとパスワードも

カード情報に加えて、プレミアム会員の特典として使える「ベネフィット・ステーション」の会員ID、氏名、パスワードも流出していた。ベネフィット・ステーションは、株式会社ベネフィット・ワンが運営する福利厚生サービスだ。

これらのデータは暗号化されていた。ところが、暗号化に使う情報も不正に取得されていたため、中身が読み取られるおそれがあると会社は説明する。カード情報についても同じ理由で、読み取られるおそれがあるとした。

第1報の「カード番号は流出していない」はなぜ訂正されたのか

10月9日の第1報で、会社は「当社はクレジットカード番号を保有しておらず、カード番号は流出した情報に含まれていない」と説明していた。第2報ではこの記載を訂正し、「重ねてお詫び申し上げます」と謝罪した。

原因は、古い支払い記録が残っていたことにあった。

第2報の説明によると、スカイチケットは現在、カード払いの際に決済代行会社が保存しているカード情報を呼び出して決済する方式をとり、自社のサーバーにはカード情報を置いていない。この方式に切り替える前の2018年6月以前は、カード情報を自社サーバーで保管していた。

2018年7月の切り替えのときに、保管していたカード情報そのものは削除した。しかし、「skyticketプレミアム」の会費の支払いに関する記録（ログ）が削除されずにサーバーに残っていたという。第1報で公表した10月2日から4日の不正アクセスで、このログが10月3日に取得されたことを、会社はその後の調査で確認した。判明したのは10月15日だったという。

対象の人がいますぐ確認したい4つのこと

会社は対象者に向けて、具体的なお願いを示している。整理すると次のようになる。

やること	内容
利用明細の確認	該当するカードの2026年10月以降の利用明細を確認する。カードを更新していても番号が変わらない場合があるため、更新済みのカードも確認する
カード会社への連絡	少額でも身に覚えのない請求があれば、カード裏面に記載されたカード会社の窓口に連絡する。再発行が不安な場合も同じ窓口に相談する
パスワードの変更	ベネフィット・ステーションを今も使っている人は、同サービスのパスワードを変える。同じパスワードをほかのサービスで使っている場合は、そちらも変える
なりすましへの注意	スカイチケット、カード会社、ベネフィット・ステーションを名乗る不審なメール、SMS、電話に注意する

ベネフィット・ステーションのパスワード変更の具体的な手続きは、ベネフィット・ワンと協議したうえで改めて知らせるとしている。

会社からの連絡は「info@skyticket.com」から

連絡先が分かる対象者には、準備が整い次第、送信元「info@skyticket.com」の電子メールで順次、個別に連絡する。連絡先が確認できない人には、公式サイトのお知らせで案内に代えるという。

自分が対象かどうかの個別の問い合わせには答えられないとしている。

会社は、メール、SMS、電話でカード番号、有効期限、セキュリティコード、パスワードを尋ねることはないと明言した。メール内のリンクからカード情報を入力させることもないとしている。カード情報やパスワードを求める連絡が届いたら、スカイチケットを名乗っていても応じないことが身を守る手段になる。

問い合わせ窓口

本件の電話窓口は03-5224-8859で、受付は平日の午前10時から午後6時まで。土日祝日は受け付けていない。メールでの問い合わせ先は利用者向けが「info@skyticket.com」で、24時間受け付け、土日祝日の分は平日に順次回答する。問い合わせが集中しており、電話がつながりにくい場合があるという。会員情報の削除を希望する人も、同じメールアドレスで受け付けている。

第1報では約1464万件、9月にも別の不正アクセス

話は10月9日にさかのぼる。

この日、アドベンチャーは3件の不正アクセスや情報の閲覧があったと発表していた。最も規模が大きかったのが、10月2日から4日にかけて自社サーバーが不正アクセスを受けた件で、発覚は10月5日だった。一部の管理機能が不正に操作され、ほかのサーバーやクラウドに保管していたデータにも侵入された。

この件で流出した、または流出したおそれがある顧客情報は約1464万件に上る。氏名、生年月日、メールアドレス、電話番号、住所などで、このうち約413万件にはハッシュ化（元に戻しにくい形に変換）されたログインパスワードが含まれていた。

ほかの2件は、9月20日に業務管理システムが不正アクセスを受け、返金先の口座情報などを含む1万7780件（重複を含む）が対象となった件と、バス予約の完了ページがログインなしで見られる状態になっており、約1万2000件の予約情報が閲覧されたおそれがある件だった。

会社は10月7日午後6時ごろから、保存済みのカードによる支払いとカード情報の保存機能を止めていた。当時の説明は、カード番号とパスポート画像は保存しておらず流出していない、というもの。第2報で訂正の対象となったのは、このうちカード番号についての部分である。

調査は続く、2018年6月以前のほかの支払いも確認中

第2報で会社が示した対応は、決済代行会社とベネフィット・ワンへの報告、問題のログを外部からアクセスできない状態にする隔離作業、個人情報保護委員会や関係機関への報告だった。

残る焦点は、プレミアム会費以外の支払いだ。2018年6月以前の会費以外の支払いに関するカード情報が残っていないか、会社は確認を続けている。

情報の悪用について、第1報の時点では、会員1人のアカウントへの不正ログインを除き、二次被害は確認されていないと説明していた。今回流出したカード情報などについても、会社は10月16日の適時開示で、現時点で悪用による二次被害は確認していないとしている。決済代行会社を通じて、カード会社に不正利用の監視を依頼しているという。

会社は引き続き調査を進め、新たな事実が分かれば速やかに公表するという。2017年2月から2018年6月にプレミアム会費をカードで払った心当たりのある人は、まずカードの明細を開くところから始めたい。

[文/構成 by 小川 そら]