skyticket（アドベンチャー）への不正アクセス（約1,464万件）：ハッシュ化されたパスワードや返金先の口座情報が流出、利用者が今日やること

1件目の経路では、約413万件の会員のログインパスワードが、ハッシュ化した状態で流出しました。ハッシュ化は元のパスワードに戻しにくい形に変換して保存する方法ですが、同社も、解析によってパスワードが判明し、不正ログインに悪用されるおそれがあるとしています（仕組みは パスワードハッシュとは）。

同社は会員にパスワードの変更を求めています。手続きは、メール内のリンクからではなく、skyticketの公式サイトか公式アプリにログインして行ってください。同社は、送っている連絡メールにパスワードの入力を求めるリンクは書いていないとしています。

同社は、他のサービスで同じパスワードを使っている場合は、そちらも変えるよう呼びかけています。割り出されたパスワードは、メールアドレスと組み合わせて、他のサイトへのログインに試されることがあります。

まずメールアカウント、ネット銀行、買い物サイトなど、乗っ取られると被害が大きいものから変えます。どこで使い回しているか分からない場合は、パスワード漏えいの確認方法 と パスワードマネージャーの選び方 が役に立ちます。

2段階認証については、10月10日時点のskyticketの発表には案内がありません。変更した他のサービスで使えるなら、この機会に有効にしてください（選び方は 多要素認証の選び方）。

同社は、マイページの予約履歴と、クレジットカードの利用明細を確認するよう求めています。カード番号そのものは流出していませんが、アカウントに不正ログインされると、保存済みのカードで予約されるおそれがあるためです。同社はこれを防ぐため、10月7日18時ごろに保存済みカードでの支払いとカード情報の保存機能を止めました。

身に覚えのない予約があれば同社の窓口へ、知らない請求があればカード会社へ連絡してください。同社は、9月9日に会員1名のアカウントへの不正ログインを確認したとしています。

同社は、同社・金融機関・航空会社・バス運行会社などを装ったメール、SMS、電話、郵便物が届くおそれがあるとしています。名前・生年月日・電話番号・住所がそろっているため、本物らしい連絡が作れてしまいます。

同社は、本件で金銭の支払いを求めることはないとしています。返金や補償を名目に、振込み、手数料の支払い、アプリのインストールを求める連絡は偽物と考えてください。連絡に書かれたリンクや電話番号は使わず、自分で開いた公式サイトで確かめます（見分け方は フィッシングとは）。

同社が10月8日から送っているメールは、送信元が info@skyticket.com で、件名は「【重要】不正アクセスによるお客様情報流出のお詫び」など4種類です（口座情報が対象の人向けは「お客様情報（銀行口座情報を含む）流出のお詫び」）。これと違うアドレスから届いたメールや、パスワードなどの入力を求めるメールは、同社を装った不審なメールのおそれがあるとしています。

2件目の経路では、返金先の口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）が流出した、または流出したおそれがあります。同社は、口座番号などの情報だけで直ちに預金が引き出されるものではないとしています。

注意したいのは、返金手続きなどを装って、口座の暗証番号やインターネットバンキングのID・パスワードを聞き出そうとする連絡です。全国銀行協会は、同協会がお客さまの暗証番号やパスワードを尋ねることはないとしています。警察庁も、警察官が電話等で暗証番号を求めることはないとしています。ワンタイムパスワード（1回限りの認証コード）も同じで、電話やSMSで聞かれても答えないでください。

通帳やアプリで身に覚えのない入出金がないかも確認し、見つけたら取引のある銀行に相談します。口座番号の流出だけで口座を作り直すよう勧める公式の案内は見当たりません。不安なら、キャッシュカードの裏や銀行の公式サイトに載っている番号から相談してください。

3件目の経路では、2026年8月3日〜10月1日に、バスの予約完了ページがログインしなくても表示できる状態になっていました。乗車便の日時・乗降地・運行会社・便名と、運行会社の予約番号も閲覧の対象です。

同社は、これを知った第三者が同社や運行会社を装い、予約の変更・キャンセルや追加料金の支払いを求めるおそれがあるとしています。予約の確認やキャンセルは、マイページの「予約確認」から24時間手続きできます。身に覚えのない変更やキャンセルがあれば、同社の窓口に連絡してください。

同社の発表に載っている窓口は「skyticket 個人情報流出に関するお問い合わせ窓口」（メール：info@skyticket.com）です。同社ホームページの10月8日のお知らせでは、受付時間を毎日10時〜18時としています。10月10日時点で問い合わせが多く、電話がつながりにくく、メールの返信にも時間がかかっていると同社は告知しています。返信を待つ間に、パスワードの変更など自分でできることを先に済ませてください。

3件目は、予約完了ページがログインしなくても表示できる状態になっていて、その期間（8月3日〜10月1日）に第三者に機械的に閲覧されたと公表されています。予約完了ページや予約確認メールのリンク先は、氏名・連絡先・予約番号がまとまって載る、個人情報の多いページです。

確認するのは、そのページを開くときに誰が見ているかを確かめているかです。ログインを求めるか、ログインなしで見せるなら推測できない長い文字列をURLに含め、有効期限を付けます。一般に、URLの番号を変えるだけで別の人の予約が見える状態は、IDOR と呼ばれる典型的な問題です（考え方は 認証と認可の違い）。

「機械的に閲覧された」ということは、人間には出せない数のアクセスがあったということです。予約完了ページのように1人が何度も開く必要のないページは、1つの接続元からの表示回数に上限を付け、超えたら担当者に通知します。

測る場所は、アプリの中、前段のWebサーバーやCDN（配信サービス）のどちらでもかまいません。具体的な設定の始め方は レート制限と乱用対策 にまとめています。

同社は、パスワードのハッシュが流出したことを受けて、保存済みカードでの支払いを止めました。乗っ取られたアカウントで保存済みカードを使われると、カード番号が漏れていなくても不正な購入が起きるためです。

自社のサイトで同じ判断が必要になったとき、保存済みカードでの支払いだけを止められるか、あるいは支払いのたびにカード会社の本人認証（3Dセキュア）を求められるかを、事前に確かめておきます。止める操作が用意されていなければ、事故の当日に作ることになります。

2件目で対象になったのは、業務管理システムにあった返金先の口座情報です。返金は1回で終わる手続きであることが多いため、返金が完了した口座情報をいつまで持つかを決め、期限が来たら自動で消す仕組みを検討します。持っていない情報は漏れません。