skyticketの情報漏洩｜約1,464万件の範囲とカード明細の確かめ方 2026

比較予約サイト「skyticket」を運営する株式会社アドベンチャーは、2026年10月9日に不正アクセスによる個人情報の流出を発表し、サーバーへの不正アクセスで約1,464万件（このうち会員のログインパスワードを含むもの約413万件）の氏名、生年月日、メールアドレス、電話番号、住所などが流出したとしました。10月16日の第2報では、第1報の「カード番号は流出していない」を訂正し、2017年2月から2018年6月に「skyticketプレミアム」の会費をカードで払った人のカード番号、名義、有効期限が最大6,140名分流出したと発表しています。利用者がまずすることは、skyticketと同じパスワードを使うサービスのパスワード変更、マイページの予約履歴とカード明細の確認、そしてskyticketやカード会社を名乗る連絡でパスワードやカード情報を入れないことです。

この記事では、2026年10月20日時点のskyticketと株式会社アドベンチャーの公式発表だけをもとに、3つの不正アクセスの中身、訂正の経緯、漏れた項目と含まれない項目、自分が対象かの確かめ方、今日やることを整理します。

skyticketの情報漏洩で何が起きたのか（2026年10月20日時点）

今回の発表は、経路の違う3件の不正アクセスと、第2報で分かったカード情報の流出をまとめたものです。最初に全体を表にします。

区分	起きた時期	対象	主な項目
(1) サーバーへの不正アクセス	2026年10月2日から4日	約1,464万件（うちログインパスワードを含むもの約413万件）	氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込時の依頼人名義、ハッシュ化したログインパスワード
(2) 業務管理システムへの不正アクセス	2026年9月20日	17,780件（重複を含む。ほかに件数を調査中のものあり）	氏名、電話番号、返金先の口座情報など
(3) バス予約の予約情報の閲覧	2026年8月3日から10月1日	予約約12,000件（同行者を含むと人数はこれより多い）	予約者の氏名（カナ）、年齢、性別、メールアドレス、電話番号、会員ID、乗車便の情報、同行者の氏名・年齢・性別など
第2報で判明したカード情報	(1) の不正アクセスで10月3日に取得	最大6,140名	カード番号、カード名義人名、有効期限（一部はカード番号のみ）

対象のほとんどは (1) の約1,464万件です。skyticketで会員登録をした人や、予約のときに情報を入力した人が広く含まれます。カード情報が流出したのは、2017年2月から2018年6月までという限られた時期に、有料の会員サービス「skyticketプレミアム」の会費をカードで払った人だけです。

公式発表では、(2) で会員1名のアカウントへの不正ログインが9月9日に確認されたことを除き、流出した情報が悪用された二次被害は確認されていないとしています（第1報の時点）。

公表の経緯：第1報から第2報までの日付

skyticketと運営会社の公式サイトに出たお知らせを、日付の順に並べます。

日付	お知らせ	分かったこと
10月8日	当社よりお送りした「個人情報の流出に関するお知らせ」メールについて	10月8日19時ごろから、対象者へ [email protected] からメールを順次送ったと告知。メールの件名を公表
10月9日	不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第1報）	3件の不正アクセスの内容、件数、項目、会社の対応を公表
10月10日	メールサーバー障害の復旧に関するお知らせ	問い合わせの増加で起きたメールの障害が復旧。電話がつながりにくい状態を告知
10月13日	電話窓口開設のお知らせ	専用の電話窓口を開設
10月16日	第2報	skyticketプレミアムのカード情報が最大6,140名分流出していたと判明。第1報を訂正

順番に注意が要ります。対象者へのメールは、公式サイトでの第1報より1日早い10月8日の夜に送られ始めました。そのため、「身に覚えのないメールが急に届いた」と不審に思った人もいたはずです。運営会社はこれに対して、10月8日のお知らせで、メールが正式なものであることと、送信元と件名を公表しています。

もう1つは、第2報での訂正です。第1報には「当社はお客様のクレジットカード番号とパスポートの画像を保存しておらず」「いずれの案件でもクレジットカード情報とパスポートの画像は流出しておりません」と書かれていました。第2報は、これを次のように訂正しています。

第1報では「当社はクレジットカード番号を保有しておらず、カード番号は流出した情報に含まれていない」とお知らせしておりましたが、その後の調査により、上記のとおり判明いたしましたので、第1報の内容を訂正させていただきます。 出典: skyticket.jp

第1報を読んで「カードは関係ない」と安心した人も、第2報の対象に当てはまらないかを確かめ直してください。

漏れた項目と、含まれないと明記された項目

(1) サーバーへの不正アクセスで流出した項目

氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込のときの依頼人名義、会員のログインパスワード（ハッシュ化した状態のもの）です。ハッシュ化とは、パスワードを元に戻しにくい別の文字列に変換して保存する方法のことです。ただし運営会社は、解析によってパスワードが判明し、skyticketや同じパスワードを使うほかのサービスへの不正ログインに悪用されるおそれがあると説明しています。パスポート番号は流出していないことを確認したとしています。

(2) 業務管理システムへの不正アクセスで流出した項目

氏名、電話番号、返金先の口座情報（金融機関名、支店名、口座種別、口座番号、口座名義）などです。一部の人については、メールアドレスと生年月日（68件）、住所（18件）も含まれます。キャンセルなどで返金を受けた人が対象になっていると読めます。パスポート番号は、流出の事実は確認されていないものの、引き続き確認中とされています。

(3) バス予約で閲覧された項目

予約者の氏名（カナ）、年齢、性別、生年月日（登録がある場合）、メールアドレス、電話番号、会員ID、予約に使った端末の種類、支払方法と金額、予約日時、乗車便の情報（日時、乗降地、運行会社、便名、運行会社の予約番号）、同行者の氏名、年齢、性別です。

第2報で判明したカード情報

カード番号、カード名義人名、有効期限（一部はカード番号のみ）です。セキュリティコードは含まれていません。あわせて、skyticketプレミアムの会員特典であるベネフィット・ステーション（株式会社ベネフィット・ワンの福利厚生サービス）を使うための会員ID、氏名、パスワードも流出しています。これらは暗号化されていましたが、暗号化に使う情報も取られたため、読み取られるおそれがあるとされています。

含まれないと明記された項目

項目	公式の説明
パスポートの画像	保存しておらず、いずれの案件でも流出していない（第1報）
パスポート番号	(1) では流出していないことを確認。(2) では流出の事実は確認されていないが確認中
セキュリティコード	第2報のカード情報に含まれていない
2018年7月以降に払った・登録したカード情報	同月にカード情報を保管しない方式へ移行しており、流出していない

skyticketプレミアムの会費以外で、2018年6月以前の支払いのカード情報がサーバーに残っていないかは、第2報の時点で確認中とされています。2026年10月20日時点で、この点についての続報は出ていません。

原因：3つの経路と、削除されずに残っていたログ

公式発表に書かれた原因を、経路ごとに整理します。

• (1) skyticketの一部の管理機能を不正に操作され、そこから他のサーバーとクラウド上に保管していたデータに不正にアクセスされた
• (2) 業務管理システムの脆弱性を悪用された。脆弱性とは、プログラムの作りに残っていた弱点のこと
• (3) バスの予約完了ページが、ログインしなくても表示できる状態になっていて、第三者に機械的に閲覧された（10月1日に修正済み）

カード情報が流出した理由は、第2報で次のように説明されています。いまのskyticketは、カード情報を決済代行会社（カード決済の処理を引き受ける専門の会社）に保存し、支払いのときに呼び出す方式で、自社のサーバーにはカード情報を保管していません。ところが、この方式に移る前の2018年6月以前は、自社のサーバーにカード情報を保管していました。移行のときにカード情報は削除したものの、skyticketプレミアムの会費の支払いに関する記録（ログ）が削除されずに残っていて、10月3日にそのログが取得されたということです。

移行の際、保管していたカード情報は削除いたしましたが、「skyticketプレミアム」の会費のお支払いに関する記録（ログ）が削除されずに当社サーバーに残っておりました。 出典: skyticket.jp

skyticketの対応

公式発表に書かれている対応を並べます。発表に無いことは書きません。

• 不正アクセスの経路を遮断し、脆弱性への対策を行っている
• 保存済みのカードを使った不正な購入を防ぐため、2026年10月7日18時ごろに、保存済みのクレジットカードでの支払いと、カード情報の保存機能を停止した
• 対象者へ電子メール（送信元 [email protected]）で順次連絡している。連絡が届かない人には、お知らせで案内に代えるとしている
• 個人情報保護委員会と関係機関に報告した
• 第2報の件では、決済代行会社と株式会社ベネフィット・ワンに報告し、問題のログを外部からアクセスできない状態にする隔離作業を進めている
• 10月13日に専用の電話窓口を開設した

保存済みのカードでの支払いが止まったことで、利用者の側にも変化があります。これまでカードを保存していた人は、次に予約するときに、カード番号を毎回入力する形になります。これは不正な購入を防ぐための措置で、カードの情報が流出したことを意味するものではありません。運営会社は、カード情報を決済代行会社に保存する方式を2018年7月から使っていて、それ以降のカード情報は流出していないと説明しています。予約の画面でカード番号の入力を求められても、skyticketの公式サイトか公式アプリの画面であれば、通常の手続きです。メールやSMSのリンクから開いた画面で入力を求められた場合は、偽のサイトを疑ってください。

補償やお詫びの品については、2026年10月20日時点の公式発表に記載がありません。それどころか、運営会社は第1報で「本件に関する返金・補償などを名目に、振込みや手数料の支払い、アプリのインストールを求める連絡には応じないでください」「当社から、本件に関してお客様に金銭のお支払いをお願いすることはございません」と注意を呼びかけています。

自分が対象かを確かめる方法

1. [email protected] からのメールを探す

対象者には [email protected] からメールが送られています。受信箱と迷惑メールのフォルダで、このアドレスか「skyticket」「流出」で検索します。10月8日のお知らせで公表された件名は次の4つです。

• 【重要】不正アクセスによるお客様情報流出のお詫びとパスワード変更のお願い
• 【重要】不正アクセスによるお客様情報（銀行口座情報を含む）流出のお詫びとパスワード変更のお願い
• 【重要】不正アクセスによるお客様情報流出のお詫び
• 【重要】不正アクセスによるお客様情報（銀行口座情報を含む）流出のお詫び

件名に「銀行口座情報を含む」とあれば、(2) の返金先の口座情報が含まれていると読めます。第2報のカード情報の対象者にも、準備が整い次第、同じアドレスから個別に連絡するとされています。

2. 第2報の対象に当てはまるか、自分で確かめる

第2報では、対象かどうかの個別の問い合わせには答えられないとしています。次の3つにすべて当てはまるかを、自分で思い出してください。

1. skyticketプレミアムに入っていたことがある
2. 2017年2月から2018年6月の間に、その会費のためにカードを登録したか、カードで払った
3. そのカードを今も持っている（更新して番号が変わっていない場合を含む）

当時のカード明細や、skyticketからの会費の領収メールが残っていれば手がかりになります。

3. マイページの予約履歴を見る

skyticketにログインし、マイページの「予約確認」で、身に覚えのない予約、予約の変更、キャンセルがないかを見ます。バス予約の対象になった人は特に、乗車便の予約が勝手に変わっていないかを確かめます。

4. メールが届いていないとき

対象者へのメールは順次送られていて、10月8日から10日にかけては、問い合わせの増加でメールサーバーに障害が起き、メールが遅れていたと公式に告知されています。登録したメールアドレスがもう使えない人や、メールが迷惑メールに振り分けられている人もいます。運営会社は、連絡が届かない人にはお知らせで案内に代えるとしているので、メールが無いからといって対象外とは限りません。skyticketで会員登録や予約をしたことがある人は、対象に含まれている前提で、次の節の対応を進めるのが安全です。

利用者がすること：パスワード、カード明細、口座、予約

skyticketと、同じパスワードのサービスを変える

会員は、skyticketのパスワードを変えます。運営会社は、メールのリンクからではなく、skyticketの公式サイトか公式アプリにログインしてから手続きするよう案内しています。メールにはパスワードの入力を求めるリンクを載せていないとも明記しています。

そのうえで、同じパスワードを使っているほかのサービスを変えます。旅行の予約サイトは、航空会社、ホテル、鉄道、カード会社の会員サイトと同じメールアドレスで登録していることが多く、パスワードも同じにしがちです。メール、ネット銀行、カード会社の会員サイト、ほかの旅行予約サイトの順に見直し、使えるところでは二段階認証を設定します。

カードの利用明細を確かめる

第2報の対象に当てはまる人は、そのカードの2026年10月以降の利用明細を確かめます。運営会社は、カードを更新しても番号が変わらないことがあるので、更新していても確かめるよう呼びかけています。少額でも身に覚えのない請求があれば、カードの裏面に書かれたカード会社の窓口に連絡します。再発行するかどうかも、その窓口で相談できます。

第2報の対象に当てはまらない人でも、skyticketにカードを保存して予約していた人は、念のため最近の明細を見ておくと安心です。

返金先の口座を登録していた人

口座番号などの情報だけで、すぐに預金が引き出されるわけではないと運営会社は説明しています。ただし、返金の手続きを装って、口座の暗証番号やネット銀行のIDとパスワードを聞き出そうとする連絡が来るおそれがあります。暗証番号やネット銀行のパスワードは、どんな理由でも人に伝えないでください。身に覚えのない入出金があれば、取引のある金融機関に相談します。

ベネフィット・ステーションを使っている人

skyticketプレミアムの特典でベネフィット・ステーションを使っていた人は、そのパスワードを変えます。具体的な手続きは、運営会社がベネフィット・ワンと協議して改めて知らせるとしています。同じパスワードをほかで使っていれば、そちらも変えます。

第1報のあとに対応を済ませた人が、もう一度確かめること

10月9日の第1報を読んで、すでにパスワードを変えた人もいるはずです。第2報で新しく分かったことがあるので、次の2点を確かめ直します。

1点目は、カード明細です。第1報ではカード情報は流出していないとされていたため、明細を確かめなかった人も多いはずです。2017年2月から2018年6月にskyticketプレミアムの会費を払っていた人は、そのカードの明細を改めて確かめてください。当時のカードを解約していれば、そのカードで新たに請求されることはありませんが、更新で番号が変わっていないカードは対象になりえます。

2点目は、ベネフィット・ステーションのパスワードです。第1報には出てこなかった項目なので、プレミアムの特典として使っていた人は見落としがちです。ベネフィット・ステーションと同じパスワードを、ほかのサービスでも使っていないかを確かめます。

第1報の時点で、運営会社はパスワードについて次のように説明していました。

ログインパスワードは、元のパスワードに戻すことが困難な形（ハッシュ化）に変換して保存しておりましたが、解析によりパスワードが判明し、skyticketや、同じパスワードをお使いの他のサービスへの不正ログインに悪用されるおそれがあります。 出典: skyticket.jp

ハッシュ化されていても、短いパスワードや、よく使われる単語のパスワードは、解析で割り出されやすくなります。skyticketのパスワードを変えるときは、ほかのどのサービスとも違う、長いものにしてください。

流出した項目ごとに、起こりやすいことと備え

項目	起こりやすいこと	備え
メールアドレス、ログインパスワード	ほかのサービスへのログインの試み	同じパスワードのサービスを変え、二段階認証を設定する
氏名、生年月日、電話番号、住所	航空会社や旅行会社を名乗る電話、郵便物	予約の状態は公式アプリやマイページで自分で確かめる
返金先の口座情報	返金を装って暗証番号やネット銀行のパスワードを聞き出す連絡	暗証番号とパスワードは誰にも伝えない
バスの乗車便、予約番号	予約の変更やキャンセル、追加料金を装った連絡	マイページで予約の状態を確かめ、連絡の番号には掛けない
カード番号、名義、有効期限	カードの不正利用、カード会社を装った連絡	明細を確かめ、気になればカード会社に再発行を相談する
ベネフィット・ステーションのID、パスワード	同サービスや同じパスワードのサービスへの不正ログイン	同サービスのパスワードを変え、使い回しをやめる

偽のメール・SMS・電話・郵便物の見分け方

運営会社は、流出した情報を使って、同社、金融機関、航空会社、バス運行会社などを装った連絡が届くおそれがあると説明しています。次のどれかに当てはまれば、偽物を疑います。

• [email protected] 以外のアドレスから「skyticket」を名乗るメールが届く
• メールのリンクからパスワードやカード情報を入力させようとする
• 返金や補償を理由に、振込みや手数料の支払い、アプリのインストールを求める
• 電話でカード番号、有効期限、セキュリティコード、暗証番号、パスワードを尋ねる
• 「予約が変更になった」「追加料金が必要」と、バスや航空券の予約を理由に支払いを求める

最後の項目は、バス予約の対象になった人が特に気をつける点です。乗車便の情報や予約番号を知った第三者が、運営会社や運行会社を装って予約の変更やキャンセル、追加料金の支払いを求めてくるおそれがあると公式発表に書かれています。予約の状態は、連絡に書かれた番号やリンクではなく、マイページで自分で確かめます。

不審な連絡に書かれたリンクや電話番号には連絡せず、公式に載っている窓口に確かめてください。漏えいの有無を自分で調べる方法はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で、住所が漏れたときに起きやすいことと備え方は個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で解説しています。

問い合わせ窓口

第2報に載っている窓口は次のとおりです。2026年10月20日時点の記載です。

方法	連絡先	受付時間
電話	03-5224-8859	平日10:00～18:00（土日祝日は受け付けていない）
メール（skyticketの利用者）	[email protected]	24時間（順次回答。土日祝日の問い合わせは平日に順次回答）
メール（取引先・関係機関）	[email protected]	記載なし

問い合わせが集中していて、電話がつながりにくい場合や、回答に時間がかかる場合があるとされています。予約内容の確認やキャンセルは、マイページの「予約確認」から24時間手続きできると案内されているので、窓口を待たずにできることは先に済ませると効率的です。

会員情報の削除を希望する人は、[email protected] に連絡するよう第2報に書かれています。

メールで問い合わせるときは、登録しているメールアドレス、氏名、問い合わせたい予約の予約番号（あれば）を書いておくと、確認が進みやすくなります。パスワードやカード番号は、問い合わせのメールに書かないでください。運営会社は、メールや電話でカード番号やパスワードを尋ねることはないと明記しています。

旅行の予約サイトを使うときに見直したいこと

今回の件は、旅行の予約サイトならではの事情がいくつか重なっています。今後ほかの予約サイトを使うときにも役立つ点を整理します。

1つ目は、パスポート表記の氏名と生年月日です。海外航空券の予約では、パスポートと同じローマ字の氏名と生年月日を入力します。今回流出したのはその組み合わせで、パスポート番号や画像は含まれていません。ただ、海外旅行の予定があると知られたうえで、航空会社や大使館を名乗る連絡が来ることも考えられます。航空会社からの案内は、予約した航空会社の公式アプリか公式サイトで確かめます。

2つ目は、同行者の情報です。バス予約では、同行者の氏名、年齢、性別も対象になりました。家族や友人の分をまとめて予約した人は、その人たちにも偽の連絡が来るかもしれないことを伝えておきます。

3つ目は、カードの保存です。予約サイトにカードを保存すると、次の予約が楽になる一方で、アカウントを乗っ取られたときに不正な購入に使われます。skyticketは今回、保存済みのカードでの支払いと保存の機能を停止しました。よく使うサイト以外にはカードを保存しない、使わなくなったサイトはカードの登録を消して退会しておく、といった整理が有効です。

4つ目は、何年も前の利用です。第2報のカード情報は、2017年から2018年の会費の記録でした。利用者の側からは見えない古い記録が、何年もたってから問題になることがあります。使わなくなったサービスの退会は、こうした古い記録を減らす手段にもなります。

在宅で仕事をする人が気をつけること

在宅で仕事を受けている人が、出張や打ち合わせの移動、取引先の手配のためにskyticketを使っていた場合、同行者として取引先の担当者の氏名を入力していたことがあるかもしれません。その場合は、取引先の個人情報も対象になっている可能性があります。

漏えいを起こしたのは運営会社で、国への報告と本人への連絡は運営会社が行っています。個人情報保護委員会は、事業者が国へ報告しなければならない場面を次のように示しています。

下記の要件に該当する場合、漏えい等報告が義務付けられています。 出典: ppc.go.jp

同じページでは、要件として、病歴などの配慮が必要な情報が含まれる場合、カード番号など財産的な被害につながるおそれのある情報が含まれる場合、不正アクセスなど不正な目的による場合、本人の数が1,000人を超える場合の4つを挙げています。報告の期限は、発覚したら速やかに、不正な目的によるおそれがある場合は発覚日から60日以内とされています。

自分が取引先に知らせるべきかどうかは、預かった情報の使い方や契約の内容で変わり、一律には決まりません。取引先の担当者の名前で予約していたことが分かったら、「どのサービスで、どの情報が対象になった可能性があるか」を事実として伝えておくと、取引先が自分で判断できます。会社の経費精算のために仕事のカードで予約していた場合は、そのカードの明細を経理の担当者と一緒に確かめておくと安心です。迷うときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）に相談できます。

運営者の視点：預けた先を覚えておくことが、いちばんの備えになる

フリーランスと在宅ワークの市場を20年見てきた立場から言えば、漏えいの公表が出たときに落ち着いて動ける人は、自分がどのサービスに何を預けているかを把握しています。旅行の予約サイトは、年に数回しか使わないため、どのメールアドレスで登録したか、カードを保存したか、パスワードを何にしたかを忘れがちです。そうしたサービスほど、使い回しのパスワードが残りやすくなります。

仕事でも同じで、取引先の情報をどのサービスに入力したかを記録しておけば、何かあったときにすぐ影響の範囲を答えられます。依頼者と受注者が直接やり取りする手数料0%の取引では、間に立つ会社が管理を肩代わりしない分、こうした管理がそのまま信用になります。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策を支援する仕事の内容はAI・マーケティング・セキュリティのお仕事で、ネットワークの基礎を証明する資格はCCNA（シスコ技術者認定）で紹介しています。ログインにパスワード以外の要素を組み合わせる仕組みはMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で、偽メールを見抜く訓練の進め方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで解説しています。

よくある質問

Q. skyticketのクレジットカード情報は流出しましたか？

第2報で、2017年2月から2018年6月に「skyticketプレミアム」の会費のためにカードを登録または利用した人の、カード番号、名義、有効期限が最大6,140名分流出したと発表されました。セキュリティコードは含まれていません。2018年7月以降の支払いと登録のカード情報は流出していないとされています。対象に当てはまる人は、2026年10月以降の利用明細を確かめてください。

Q. 第1報では「カード情報は流出していない」とありましたが、どちらが正しいですか？

10月16日の第2報が新しい情報です。運営会社は第2報で、第1報の「カード番号は流出した情報に含まれていない」を訂正しました。2018年6月以前に自社サーバーでカード情報を保管していた時期の、プレミアムの会費の支払いの記録が削除されずに残っていて、10月3日に取得されたと説明しています。

Q. skyticketからの本物のメールはどう見分ければよいですか？

運営会社からの連絡は [email protected] から送られると公表されています。送られたメールには、パスワードの入力を求めるリンクは載せていないとされています。ほかのアドレスからのメールや、リンク先でパスワードやカード情報を入力させるメールは偽物を疑い、パスワードの変更は公式サイトか公式アプリにログインして行ってください。

Q. 電話で問い合わせることはできますか？

専用の電話窓口が10月13日に開設されています。電話番号は03-5224-8859、受付時間は平日10時から18時で、土日祝日は受け付けていません。メールは [email protected] で24時間受け付け、順次回答するとされています。問い合わせが集中してつながりにくい場合があるため、予約の確認はマイページの「予約確認」から先に行うと効率的です。