2018年、skyticketはカード情報を自社で保管しない方式に移り、それまで保管していたカード情報を削除しました。それから約8年。会費の支払いを記録したログが、カード情報を含んだままサーバーに残っていたことが、第2報で明らかになりました。消したはずのデータは、どこに残っていたのでしょうか。
アドベンチャーは2026年10月16日、旅行予約サイト「skyticket」への不正アクセスに関する第2報を公表し、「skyticketプレミアム」を利用した一部の顧客のクレジットカード情報が流出したと発表した。対象は2017年2月から2018年6月に同サービスの会費の支払いのためカードを登録または利用した最大6,140名で、流出項目はカード番号、名義人名、有効期限（一部はカード番号のみ）である。セキュリティコードは含まれない。
同社は2018年6月以前、カード情報を自社サーバーで保管していた。保管をやめる方式への移行時にカード情報は削除したが、会費の支払いに関する記録（ログ）が残っており、10月3日に取得された。カード番号は流出していないとした第1報の説明を訂正した。
From: 
不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）
【編集部解説】
第2報によると、10月9日の第1報では「当社はクレジットカード番号を保有しておらず、カード番号は流出した情報に含まれていない」と説明していました。その内容が、1週間後に訂正されました。今回の第2報が示しているのは、削除したはずのデータが、別の形で残っていたという事実です。
経緯を整理します。同社によると、現在のskyticketのカード決済は、決済代行会社に保存されたカード情報を呼び出して行う方式です。2018年7月にカード情報を自社サーバーで保管しない方式へ移り、それまで保管していたカード情報は削除したと説明しています。ところが、「skyticketプレミアム」の会費の支払いに関する記録、つまりログが削除されずにサーバーに残っていました。10月2日から4日の不正アクセスのなかで、このログが10月3日に取得されています。
通常の保管先からカード情報を消しても、カード情報を含む記録が別の場所に残っていれば、そこも流出の対象になりえます。ログは、システムの動きを後から確かめるために、処理の内容を書き残していく仕組みです。消す対象を保管先だけで考えず、どのログに何が書き込まれていたかまで点検する必要があることを、今回の事案は示しています。カード業界の安全基準であるPCI DSSも、カード番号を保存するなら、ログを含むすべての保存先で読み取れない形にするよう求めています。
日本では2018年6月1日に改正割賦販売法が施行され、加盟店にもカード番号などを適切に管理する義務が課されました。その具体策を示した業界の実行計画は、EC加盟店に対し、自社の機器やネットワークでカード情報を保存・処理・通過させない「非保持化」か、PCI DSSへの準拠を求めていました。skyticketが保管しない方式へ移ったのは2018年7月で、時期は近いものの、第2報には移行の理由は記されていません。今回流出したのは、約8年前の移行より前に残された記録でした。
ログに残っていたカード情報は暗号化されていました。それでも同社は、暗号化に使う情報も不正に取得されたため、カード情報が読み取られるおそれがあるとしています。暗号化したデータを守るには、復号に必要な鍵へのアクセスを制限し、鍵そのものも安全に管理しておく必要があります。データと一緒に復号に必要な情報まで取得されると、暗号化していても読み取られるおそれが生じます。第2報には、本件で取得された「暗号化に用いる情報」の具体的な種類や保管の構成は記されていません。このほか、会員特典の福利厚生サービス「ベネフィット・ステーション」を使うための会員ID、氏名、パスワードも流出しました。これらも暗号化されていましたが、同じ理由で読み取られるおそれがあるとしています。
10月12日の記事も、第1報に沿って「クレジットカード番号は保存しておらず、流出していない」と伝えていました。第2報で訂正された点は、その記事の内容にも及びます。
対象になるかもしれない人がとるべき行動は、具体的です。2017年2月から2018年6月までにskyticketプレミアムの会費の支払いのためカードを登録または利用した人は、そのカードの2026年10月以降の明細を確認してください。同社は、カードを更新しても番号が変わらない場合があるとして、更新済みのカードも確認するよう呼びかけています。少額でも覚えのない請求があれば、カード裏面の窓口に連絡します。ベネフィット・ステーションを今も使っている人はパスワードを変え、同じパスワードを他のサービスで使っていれば、そちらも変えておくと安心です。
同社は、会費以外の2018年6月以前の支払いについても、カード情報がサーバーに残っていないかを確認している最中です。連絡先を確認できる対象者には、準備が整い次第 info@skyticket.com から順次メールで知らせ、確認できない人には公表文での案内に代えるとしています。メールやSMS、電話でカード番号やパスワードを尋ねることはないとも明言しています。
最初の発表を、調査の進展に合わせて1週間で改めたことは、利用者が行動を始めるための情報を早く出したという意味で重みがあります。システムを移し替えるとき、データの置き場所だけでなく、データが通った道筋まで洗い出す。今回の訂正は、多くのサービスが過去の移行を振り返るきっかけにもなりそうです。
【関連記事】
skyticketに不正アクセス、約1,464万件の顧客情報が流出 経路の異なる3件を公表
アドベンチャーの10月9日の第1報を伝えた記事。管理機能、業務管理システム、バスの予約完了ページと、経路の異なる3件を整理した。
【解説】タイムズカーやGyazo、退会・削除後の個人情報も漏えい｜残っていた情報の行方
退会した会員の情報や、削除した画像に付随する情報など、使い終えたはずのデータが漏えいの対象になった9月下旬の事案を整理した解説。
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
10月上旬、IPAや国家サイバー統括室などが相次いで出した不正アクセスへの注意喚起と、事業者に求められた3つの点検を整理した。
【編集部後記】
skyticketプレミアムの会員特典だったベネフィット・ステーションは、ベネフィット・ワンが提供する別のサービスです。今回は、その別のサービスに入るための会員IDとパスワードも流出しました。
特典として外部のサービスを組み合わせると、利用者は一度の登録で、二つの場所に鍵を預けることになります。同社は、パスワード変更の具体的な手続きをベネフィット・ワンと協議して改めて知らせるとしています。特典の便利さの裏で、預けた鍵の数は、本人の気づかないうちに増えていきます。
【用語解説】
ログ
システムがいつ、どんな処理をしたかを書き残した記録。障害の調査や不正の検知に使う。処理の内容によっては、カード番号などの重要な情報が書き込まれることがある。
非保持化
加盟店が、自社の機器やネットワークでカード情報を保存・処理・通過させないこと。カード情報は、PCI DSSに準拠した決済代行会社などの側で扱う。
決済代行会社
ECサイトなどの加盟店に代わって、カード会社との決済手続きを担う事業者。カード情報を加盟店の代わりに保管する仕組みを提供することも多い。
暗号化
データを、鍵がなければ読めない形に変換すること。データと一緒に復号に必要な鍵や情報まで盗まれると、暗号化していても内容を読み取られるおそれがある。
【参考リンク】
skyticket（外部）
株式会社アドベンチャーが運営する旅行予約サイト。航空券やホテル、レンタカーなどを予約できる。会費制の「skyticketプレミアム」がある。
株式会社アドベンチャー（外部）
skyticketを運営する会社。公式サイトのお知らせ欄で、今回の不正アクセスに関する第1報、第2報、電話窓口の開設を公表している。
PCI Security Standards Council（外部）
カード業界の安全基準PCI DSSを策定・管理する団体。カード番号を保存する場合の扱いや、暗号鍵の管理などの要件を定めている。
安全・安心なクレジットカード取引への取組（日本クレジット協会）（外部）
日本クレジット協会の取り組みをまとめたページ。加盟店に求められるカード情報の非保持化やPCI DSS準拠に関する資料を掲載している。
クレジット取引（経済産業省）（外部）
割賦販売法を所管する経済産業省のページ。2018年6月施行の改正で、加盟店にもカード番号等の適切な管理が義務づけられた。
ベネフィット・ステーション（外部）
株式会社ベネフィット・ワンが提供する福利厚生サービス。skyticketプレミアムの会員特典として提供され、今回その会員IDなども流出した。
【参考記事】
不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（外部）
アドベンチャーの10月9日の第1報。経路の異なる3件の不正アクセスを公表し、最大の事案では約1,464万件の顧客情報が対象になった。
不正アクセスによるお客様情報の流出に関する電話窓口開設のお知らせ（外部）
アドベンチャーの10月13日のお知らせ。今回の不正アクセスによる顧客情報の流出について、問い合わせを受け付ける電話窓口を開設した。
クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画2018（外部）
クレジット取引セキュリティ対策協議会がまとめた2018年の実行計画。EC加盟店に、カード情報の非保持化かPCI DSSへの準拠を求めている。
