格安航空券比較・予約サイト「skyticket」で3件の不正アクセス、1400万件超の個人情報が流出し、1件の悪用も確認

　株式会社アドベンチャーは10月9日、同社が運営する格安航空券比較・予約サイト「skyticket」における3件の不正アクセスについて情報を発表した。詳細は次の通り。

　1件目は同社サーバーへの不正アクセス。10月2日〜4日に発生し、10月5日に発覚した。原因および内容はskyticketの一部の管理機能が不正に操作され、ほかサーバーおよびクラウド上のデータに不正にアクセスされたというもの。

　流出した情報はskyticketに登録あるいは入力したユーザーの個人情報約1464万件で、内容は氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込み時の依頼人名義、ハッシュ化したログインパスワード。ログインパスワードを含むのは約413万件だという。なお、パスポート番号は流出していないとしている。

　2件目はskyticketの業務管理システムへの不正アクセス。9月20日に発生し、9月28日に発覚した。同社の業務管理システムの脆弱性を悪用されたことが原因。

　流出のおそれがある情報（本件に関しては「流出した、または流出したおそれのある情報」とされている）は、1万7780件（人数としては重複を含む、調査途中の件数）で、内容は氏名、電話番号、返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）など。一部ではメールアドレス・生年月日（68件）、住所（18件）なども含まれる。

　本件に関し、現時点でパスポート番号が流出の事実は確認されていないが、引き続き確認中としている。また、本件に関して9月9日に会員1人のアカウントへの不正ログインを確認しているとしている。

　3件目はバス予約サービスにおける予約情報の閲覧。8月3日〜10月1日に発生し、10月1日に発覚した。バスの予約完了ページがログインをしなくても表示できる状態になっていたことが原因（10月1日に修正済み）。

　閲覧されたおそれのある情報は約1万2000件の予約情報で、同行者を含む人数は不明（件数より多くなる）。内容は、氏名（カナ）、年齢、性別、生年月日（登録がある場合）、メールアドレス、電話番号、会員ID、予約に使われた端末の種類、支払方法・金額、予約日時、乗車便の情報（日時・乗降地・運行会社・便名・運行会社の予約番号）、同行者の氏名・年齢・性別。

　同社ではクレジットカード番号やパスポートの画像は保存しておらず、これらへの影響はないとしている。

　同社では対象者に順次メールで連絡しており、不審なメールや電話、SMSのほか、口座への身に覚えのない入金などに注意を呼び掛けている。また、パスワードの変更、予約履歴やクレジットカードの利用明細の確認も求めている。