スカイチケットで約1,464万件の個人情報流出｜3つの経路から不正アクセス
旅行予約サイト「skyticket（スカイチケット）」を運営する株式会社アドベンチャーは2026年10月9日、第三者による不正アクセスにより、顧客の個人情報が外部へ流出した、または流出したおそれがあることを公表しました。
今回特に衝撃的なのが、その規模です。
メインとなるサーバーへの不正アクセスでは、約1,464万件の顧客情報が流出しています。
しかも今回は、一つの侵入経路だけではありません。
スカイチケットは、異なる経路による3件のセキュリティ事案を同時に公表しています。
| 事案 | 対象規模 | 主な原因 |
|---|---|---|
| スカイチケットのサーバー | 約1,464万件 | 一部管理機能が不正操作され、他サーバー・クラウド上のデータへ不正アクセス |
| 業務管理システム | 17,780件＋調査中 | システムの脆弱性を悪用 |
| バス予約サービス | 予約約12,000件 | 予約完了ページがログインなしでも表示できる状態 |
3件は原因が異なるため、単純に件数を合計して「合計○万件」と考えることは適切ではありません。
スカイチケット公式「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」
スカイチケット1,464万件で何の個人情報が流出した？
最も規模の大きい約1,464万件の事案では、以下の情報が流出しています。
- 氏名（パスポート表記を含む）
- 生年月日
- メールアドレス
- 電話番号
- 郵便番号・住所
- 振込時の依頼人名義
- 会員のログインパスワードのハッシュ値
特に注意したいのが、約413万件についてログインパスワードのハッシュ値も含まれていたことです。
ハッシュ化とは、元のパスワードをそのまま保存しないための重要なセキュリティ対策です。
しかしスカイチケット自身も、解析によって元のパスワードが判明し、不正ログインへ悪用される可能性を指摘しています。
一方、クレジットカード番号とパスポート画像は今回流出していません。
クレジットカード情報についてはスカイチケット自身ではなく、決済代行会社が保管しています。
返金先の銀行口座情報も漏えい｜別の業務管理システムも攻撃
今回の事案では、メインの会員情報だけではありません。
2026年9月20日には、スカイチケットの業務管理システムの脆弱性が悪用されました。
対象は現時点で17,780件ですが、ほかにも件数を調査している情報があります。
漏えいした、または漏えいした可能性がある情報には、
- 氏名
- 電話番号
- 金融機関名
- 支店名
- 口座種別
- 口座番号
- 口座名義
など、返金先の銀行口座情報も含まれています。
一部についてはメールアドレス、生年月日、住所なども含まれています。
口座番号が知られただけで直ちに預金を引き出されるわけではありません。
しかし、「スカイチケットの返金手続きです」などと装い、暗証番号やインターネットバンキングの認証情報を聞き出す詐欺には十分注意する必要があります。
バス予約情報約1万2,000件も閲覧｜航空券だけの問題ではない
もう一つ注目したいのが、スカイチケットのバス予約サービスです。
2026年8月3日から10月1日まで、予約完了ページがログインをしなくても表示できる状態になっていました。
第三者がこのページを機械的に閲覧し、予約約1万2,000件について、
- 氏名
- 年齢
- 性別
- 生年月日
- メールアドレス
- 電話番号
- 会員ID
- 支払方法・金額
- 予約日時
- 乗車日時・乗降地
- 運行会社・便名
- 運行会社の予約番号
- 同行者情報
などが閲覧された、または閲覧された可能性があります。
つまり今回の事案は、単なる「航空券予約サイトの会員情報流出」ではありません。
航空券、返金業務、バス予約など複数の業務システムで、それぞれ異なるセキュリティ問題が確認された点が重要です。
自分はスカイチケット情報流出の対象？確認方法は
スカイチケットは、今回の対象となった顧客に対して順次メールで案内しています。
公式に案内されている送信元は、
info@skyticket.com
です。
ただし、2026年10月9日時点では、メールアドレスなどを入力して自分が対象かどうか確認できる専用検索ページは公表されていません。
そのため、
- スカイチケットから届いている公式メールを確認する
- 迷惑メールフォルダも確認する
- スカイチケット公式サイトのお知らせを確認する
- 会員の場合はパスワードを変更する
- マイページの予約履歴・カード利用明細を確認する
ことをおすすめします。
スカイチケットは、対象者へのメールが届かない場合には、公式のお知らせをもって案内に代えるとしています。
スカイチケット利用者はパスワード変更が必要
今回については、スカイチケット自身が会員に対してパスワード変更を要請しています。
さらに、
他のサービスでも同じパスワードを使用している場合は、そちらも変更するよう呼びかけています。
これは非常に重要です。
同じパスワードを複数サービスで使い回していた場合、一つのサービスから認証情報が漏れると、
- メール
- ECサイト
- SNS
- 金融サービス
- 旅行サイト
など、別サービスへの不正ログインを試される可能性があります。
パスワード変更はメール内のURLではなく、スカイチケットの公式サイトまたは公式アプリを自分で開いて行うことが推奨されています。
スカイチケット情報漏えいで補償はある？
2026年10月9日時点では、金銭補償、ポイント付与、お詫びの品などについて具体的な発表はありません。
むしろスカイチケットは、
「今回の情報漏えいに関する返金・補償」
を装い、振込や手数料の支払い、アプリのインストールなどを求める詐欺に注意するよう呼びかけています。
今後補償が正式に発表された場合には、必ずスカイチケット公式サイトから確認するようにしてください。
保存済みクレジットカードは大丈夫？決済機能の一部を停止
今回、クレジットカード番号そのものは漏えいしていません。
一方、スカイチケットは不正ログインされた場合に、アカウントへ保存されているクレジットカードを利用して航空券などを不正購入されるリスクを考慮し、
2026年10月7日18時頃から、
- 保存済みクレジットカードによる支払い
- クレジットカード情報の保存機能
を停止しています。
「カード番号が漏れていない＝決済リスクがゼロ」ではなく、アカウントを乗っ取られて保存済みカードを利用されるリスクまで考えている点は重要です。
スカイチケット以外の航空・旅行業界でも情報漏えいは起きている？
今回の事案だけを見ると、スカイチケット固有の問題に見えるかもしれません。
しかし航空・旅行業界では、過去にも大規模な不正アクセスや情報漏えいが繰り返されています。
2014年｜JALで最大75万件の顧客情報漏えいのおそれ
JALでは2014年、顧客情報システムへの不正アクセスにより、JALマイレージバンク会員の個人情報が漏えいした可能性が判明しました。
当時JALが公表した最大件数は約75万件です。
JALはこの事案を受け、情報セキュリティ強化を重要課題として位置づけています。
2021年｜航空業界共通システムSITAへの攻撃でANA・JALにも影響
2021年には、航空会社向け旅客サービスシステムを提供するSITA社が標的型攻撃を受けました。
経済産業省の資料では、世界全体で約3,000万件の情報が流出したとされ、
- ANA：約100万件
- JAL：約92万件
の会員情報が影響を受けたと整理されています。
ここで重要なのは、航空会社自身ではなく、世界の航空会社が共通利用する外部システムが侵害されたことで複数社へ被害が広がった点です。
2024年｜クラブツーリズムで旅券番号を含む約4,000件
旅行会社のクラブツーリズムでも2024年、サーバーへの不正アクセスによって、海外ツアー参加者の情報約4,000件が外部へ漏えいした可能性が公表されました。
対象には、
- 氏名（ローマ字）
- 性別
- 年齢
- 生年月日
- 航空券予約番号（PNR）
- 旅券番号
などが含まれていました。
クラブツーリズム「当社サーバーへの不正アクセスによる情報漏えいの可能性について」
ホテル・宿泊予約でもBooking.com経由の不正アクセスが相次いだ
航空だけではありません。
観光庁は2023年、Booking.comの宿泊予約情報管理システムへの不正アクセスを起点に、旅行者へフィッシングサイトへ誘導するメッセージが送られる事案について注意喚起しました。
2024年にはJR西日本グループの宿泊施設でも、Booking.comの管理システムへの認証情報がフィッシングによって窃取され、宿泊者情報が閲覧された可能性が公表されています。
観光庁「Booking.com利用者へのフィッシング被害に関する注意喚起」
航空・旅行業界はなぜサイバー攻撃で狙われやすいのか
航空・旅行サービスには、一般的なECサイト以上に多くの情報が集まります。
- 氏名
- 住所
- 生年月日
- 電話番号
- メールアドレス
- パスポート関連情報
- 航空券予約番号
- 移動日時・目的地
- 同行者
- 返金先口座
- 決済情報
などです。
さらに、航空会社、旅行代理店、ホテル、バス会社、決済会社、予約システム、クラウドなど、多数の企業・システムが連携します。
つまり、
「非常に価値の高い個人情報」と「複雑なサプライチェーン」の両方を抱えている
ことになります。
DX担当者がスカイチケット1,464万件から確認すべき5つのポイント
1．一つの事故ではなく「複数の弱点が同時に存在していないか」を見る
今回最も気になるのは、原因の異なる3件が同時期に明らかになったことです。
管理機能、業務管理システム、予約完了ページ。
DX担当者は重大インシデント発生時、
「侵入口を一つ塞いだので終わり」
と考えるのではなく、他のサービス・API・管理画面にも同様の問題が存在しないか、横断的に確認する必要があります。
2．管理画面・管理機能を一般ユーザー以上に厳重に守る
今回の約1,464万件の事案では、一部の管理機能が不正に操作されたことが起点となっています。
管理機能から他のサーバーやクラウド上のデータまでアクセスできたという事実は重要です。
管理者アカウントについては、
- MFAを必須にする
- 接続元IPを制限する
- 特権IDを通常業務で利用しない
- 操作ログを取得する
- 大量データ参照を異常検知する
など、一般利用者より強い防御が必要です。
3．認証していないユーザーから情報が見えないかテストする
バス予約では、予約完了ページがログインなしでも表示できる状態になっていました。
こうした問題は、システム自体が正常に動いていても発生します。
機能テストだけではなく、
- URLを直接入力したらどうなるか
- 別ユーザーの予約番号を入力したらどうなるか
- ログアウト後も閲覧できないか
- IDを順番に変えて情報取得できないか
など、攻撃者目線の認可テストが重要です。
4．サービスごとに保有データを分離する
旅行サービスは航空券だけでなく、ホテル、レンタカー、バス、ツアーなどへ拡大しやすいビジネスです。
しかしサービスを拡大するほどデータも集中します。
一つの管理機能が侵害されたとき、別サービスのデータまで芋づる式に取得できない構成になっているか
を設計段階から確認すべきでしょう。
5．過去の同業他社事故をセキュリティテストへ落とし込む
JAL、ANA、SITA、クラブツーリズム、Booking.comなど、旅行・航空分野では過去にも多くの事案が公開されています。
DX担当者にとって重要なのは、
「他社でまた漏えいした」
で終わらせないことです。
過去のインシデントを、自社の要件定義・設計レビュー・脆弱性診断・テスト項目へ変換する。
これが非常に重要です。
公開されたインシデント事例は、言い換えれば無料で公開されている他社の失敗テストケースでもあります。
まとめ｜スカイチケット1,464万件は「旅行DX」のリスクを考える重要事例
今回のスカイチケットでは、約1,464万件という大規模な顧客情報流出だけでなく、業務管理システムやバス予約サービスでも異なるセキュリティ問題が明らかになりました。
そして旅行・航空業界では、過去にもJAL、ANA、航空業界共通システム、旅行会社、宿泊予約サービスなどで情報漏えいが発生しています。
DXによって、
- 航空券
- ホテル
- バス
- レンタカー
- 決済
- 会員ID
を一つにつなげれば、利用者にとってサービスは便利になります。
しかし同時に、一つの弱点が侵害されたときの影響範囲も拡大します。
今後のDX担当者には、
「何ができるシステムなのか」
だけではなく、
「どこを突破されたら、どの情報まで到達されるのか」
をシステム導入・サービス開発の段階から考えることが求められるでしょう。
参考情報・出典
- skyticket「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」
- skyticket「個人情報の流出に関するお知らせメールについて」
- JAL「顧客情報システムへの不正アクセスによる個人情報漏えいの可能性」
- 経済産業省資料「航空会社から委託を受けた企業における情報流出事例」
- クラブツーリズム「当社サーバーへの不正アクセスによる情報漏えいの可能性について」
- 観光庁「Booking.com利用者へのフィッシング被害に関する注意喚起」
※本記事は2026年10月9日時点の株式会社アドベンチャーおよび各社・公的機関の公式発表をもとに作成しています。約1,464万件は今回公表された主要なサーバー不正アクセスの対象件数であり、人数とは一致しない可能性があります。また、各過去事例は原因・対象情報・件数の定義が異なるため、単純比較には注意が必要です。