日本脆弱性総合ポータル

アドベンチャー

不正アクセスでskyticketプレミアムのカード情報流出、第1報の内容を訂正

重要度
実際に被害が出た事例
公表日
2026.10.16
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. skyticketで最大6,140名のカード情報などが流出した。
  2. 2018年6月以前の会費支払いの記録が、削除されずに残っていた。
  3. 2017年2月から2018年6月に会費を支払った人は利用明細を確認するよう呼びかけている。

2026年10月2日から4日までの不正アクセスで、10月3日に会費支払いのログが取得された。ログには2017年2月から2018年6月の「skyticketプレミアム」の会費支払いで登録・利用されたクレジットカードの番号、名義人名、有効期限が含まれ、最大6,140名分が対象とされる（一部はカード番号のみ）。暗号化されているが、暗号化に用いる情報も取得されたため、読み取られるおそれがある。さらに、ベネフィット・ステーションの会員ID、氏名、パスワードも流出した。第1報の「カード番号は含まれない」という内容は訂正された。

確認された経路・公表元の推定

  1. 2018年6月以前は、決済時のカード情報を当社サーバーで保管していた
  2. 2018年7月に、決済代行会社に保存された情報を呼び出す方式へ移行し、保管していたカード情報を削除した
  3. カード情報は削除したが、会費支払いの記録（ログ）が当社サーバーに残った
  4. 2026年10月2日から4日までの不正アクセスで、10月3日にそのログが取得された
  5. 暗号化に用いる情報も取得されたため、カード情報が読み取られるおそれがある

根拠の要点

第2報では、支払いの記録（ログ）が削除されずに残っていたこと、そのログが10月3日に取得されたことを確認したとしている。侵入経路や、最初にアクセスされた原因は資料に記載がない。

資料の基準時点：2026年10月16日付の第2報（取得日 2026-10-17）

当時、対策できたのか

判定保留

資料は、2018年6月以前の支払いログが削除されず残っていたと説明しているが、最初にアクセスされた経路や攻撃時点の防御条件は書かれていない。対策の欠落を資料が明示しているとは言えないため、判定保留とした。

公表された対策

  • 決済代行会社とベネフィット・ワンに本件を報告した
  • 該当するログを外部からアクセスできない状態にするため、隔離作業を進めている
  • 対象の会員に電子メールで個別に連絡する（準備が整い次第）
  • 個人情報保護委員会及び関係機関に報告した
  • 2017年2月から2018年6月に会費を支払った人に、カードの利用明細を確認し、身に覚えのない請求があればカード会社に連絡するよう呼びかけた
  • 現在も利用している会員にパスワードの変更を依頼し、同じパスワードを他サービスでも使っている場合はそのパスワードも変更するよう依頼した
  • 不審なメール・SMS・電話への注意を呼びかけた
  • 全社で再発防止と情報管理体制の強化に取り組む

まだ分からないこと

  • 不正アクセスの侵入経路や、最初にアクセスされた原因
  • 流出したカード情報が不正利用されたかどうか
  • 2018年6月以前の会費以外の支払いに関するカード情報が残っていないか（確認中）
  • ベネフィット・ステーションのパスワード変更の具体的な手続き（改めて案内予定）

同じ会社の記事

アドベンチャーの事例をすべて見る

同じ原因分類の事例

事例の一覧に戻る