事案の概要データ
| 公表日 | 2026年10月9日（10月8日に第一報） |
|---|---|
| 事案は3件 | 経路・時期がそれぞれ異なる |
| 事案1（管理機能への侵入） | 10月2〜4日発生・10月5日発覚／約1,464万件（うちパスワードのハッシュ値を含むもの 約413万件） |
| 事案2（業務管理システムの脆弱性） | 9月20日発生・9月28日発覚／17,780件（重複含む）。返金先の口座情報を含む |
| 事案3（バス予約完了ページ） | 8月3日〜10月1日／約12,000予約。ログイン不要のページを機械的に閲覧された |
| 漏えい項目（事案1） | 氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込時の依頼人名義、パスワードのハッシュ値 |
| 流出していない情報 | クレジットカード番号とパスポート画像は保存しておらず流出していないと説明 |
| 対応 | 侵入経路の遮断と脆弱性の修正、対象者へ順次通知、個人情報保護委員会へ報告。10月7日18時ごろから保存済みカードでの支払いとカード情報の保存機能を停止 |
図解：この事故の構造
- パスワードのハッシュ値を含む 約413万件／他サービスでの使い回しに注意
- ハッシュ値を含まない 約1,051万件／氏名・生年月日・連絡先・住所など
何が起きたのか
アドベンチャーは2026年10月9日、運営する旅行予約サービス「スカイチケット」で、経路の異なる3件の不正アクセスがあったことを公表しました。
最も規模が大きいのが事案1です。10月2日から4日にかけて一部の管理機能を不正に操作され、別のサーバやクラウド上の情報にアクセスされました。対象は約1,464万件で、うち約413万件にはパスワードのハッシュ値が含まれます。発覚は10月5日でした。
事案2は、9月20日に業務管理システムの脆弱性を悪用されたもので、17,780件（重複を含む）が対象です。氏名・電話番号に加え、返金先の金融機関・支店・口座種別・口座番号・口座名義が含まれます。
事案3は、8月3日から10月1日にかけて、ログインしなくても表示できたバスの予約完了ページが第三者に機械的に閲覧されたものです。約12,000予約が対象で、予約者だけでなく同行者の情報も含まれます。
なお同社は、クレジットカード番号とパスポート画像は保存しておらず、3件とも流出していないと説明しています。
「ハッシュ化されているから安全」ではない
約413万件に含まれるとされる「パスワードのハッシュ値」について補足します。
ハッシュ化とは、パスワードを元に戻せない形に変換して保存する仕組みです。「password123」をそのまま保存するのではなく、計算結果の文字列を保存します。そのため、流出しても即座にパスワードが分かるわけではありません。
しかし安全とは言い切れません。よく使われるパスワードは、あらかじめ計算結果の一覧が作られており、照合すれば元の文字列が判明します。単純なパスワードほど短時間で割り出されます。
そして最大の問題は、パスワードの使い回しです。ここで判明したパスワードが他のサービスでも使われていれば、そちらが次に狙われます。2025年の証券会社10社の事案（不正取引 約5,240億円）は、まさにこの使い回しを悪用したものでした。
対象となった方は、スカイチケットのパスワードを変更するだけでなく、**同じパスワードを使っている他のサービスすべて**を変更してください。
ログイン不要のページという盲点
事案3は、技術的には最も単純です。「ログインしなくても見られる予約完了ページ」が存在し、そのURLを機械的に変えながらアクセスされました。
予約完了ページをログイン不要にするのは、利便性のための設計です。予約直後にメールのリンクから内容を確認できる、同行者にも見せられる——そういう狙いがあります。
しかしURLの作り方が単純だと（予約番号が連番になっているなど）、数字を変えるだけで他人の予約が見えてしまいます。侵入でも脆弱性でもなく、設計の想定の甘さです。
2026年10月は、この「設計の想定の甘さ」を突く事案が続きました。10月3日のスタディサプリ、10月6日のミスターマックス、10月8日のローソン——いずれも正規の機能が想定外の使われ方をしています。
自社でWebサービスを運営しているなら、「ログインしなくても見られるページ」を洗い出し、URLを変えて他人の情報が見えないかを実際に試してみてください。
3件の件数は足し算できない
報道では「1,464万件」という数字が大きく扱われていますが、3件の事案は対象の数え方がそれぞれ異なります。事案1は件数、事案3は予約数（同行者を含む人数はこれより多い）という具合です。
そのため、3件を合算して「被害人数」とすることはできません。公表文の数字が何を数えたものかを確認することが、正確な理解につながります。
時系列で見る経過
- 2026年8月3日〜10月1日【事案3】ログイン不要のバス予約完了ページが機械的に閲覧される（約12,000予約）
- 2026年9月20日【事案2】業務管理システムの脆弱性を悪用される（17,780件）
- 2026年9月28日【事案2】発覚
- 2026年10月1日【事案3】発覚。同日修正
- 2026年10月2日〜4日【事案1】一部の管理機能を不正操作され、別サーバ・クラウド上の情報へアクセスされる
- 2026年10月5日【事案1】発覚
- 2026年10月7日 18時ごろ保存済みカードでの支払いとカード情報の保存機能を停止
- 2026年10月8日第一報を公表
- 2026年10月9日3件の事案の詳細を公表。事案1は約1,464万件（うちパスワードのハッシュ値 約413万件）
中小企業が学ぶべきポイント
- ハッシュ化されていても、単純なパスワードは割り出される。使い回しているサービスをすべて変更する。
- 「ログインしなくても見られるページ」を洗い出し、URLを変えて他人の情報が見えないか試す。
- 予約番号・会員番号を連番にしない。推測できるIDは総当たりの標的になる。
- 同じ時期に複数の経路から侵入されることがある。1つ塞いで終わりにしない。
- 公表された件数が「何を数えたものか」を確認する。3件を足し算しても被害人数にはならない。
出典・参考
- 旅行予約「スカイチケット」1400万件個人情報流出か 不正アクセス - 日本経済新聞
- skyticket(スカイチケット)、不正アクセスによるサイバー攻撃で約1,464万件の個人情報漏洩の恐れ - セキュリティ対策Lab
- スカイチケットで情報流出 不正アクセス1464万件 - 東京新聞
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。