skyticket 不正アクセス事件

skyticket に登録・入力した利用者（会員を含む）。ほかに、返金先口座を登録した人、2017年2月〜2018年6月に「skyticketプレミアム」の会費をカードで支払った人、バス予約の利用者と同行者、旅行保険の契約者と被保険者。

第1報

• (1)サーバー：約1,464万件（うちログインパスワードを含むもの約413万件）。氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込時の依頼人名義、ハッシュ化したログインパスワード。パスポート番号は流出していないと確認
• (2)業務管理システム：17,780件（重複を含む。ほかに件数を調査中のものあり）。氏名、電話番号、返金先の口座情報など。一部にメールアドレス・生年月日（68件）、住所（18件）
• (3)バス予約：予約 約12,000件。予約者の氏名（カナ）、年齢、性別、メールアドレス、電話番号、会員ID、支払方法・金額、乗車便の情報、同行者の氏名・年齢・性別など

第2報

• skyticketプレミアム会費のカード情報：最大6,140名。カード番号、名義人名、有効期限（一部はカード番号のみ）。セキュリティコードは含まれない

第3報

• 返金先の銀行口座情報（流出）：32,341件。金融機関名、口座種別、口座番号、口座名義（カナ）。対象は2022年3月1日〜2024年5月に口座を登録した人
• カード情報の一部（流出のおそれ）：約93.6万件（約41.4万人）。カード名義、伏せ字にしたカード番号（下4桁、または先頭6桁と下4桁）、ブラウザ情報。うち12件はカード番号が全桁で記録されていた
• 旅行保険の申込情報（流出のおそれ）：約11.8万件（約11.9万人）。契約者の氏名（カナ）、生年月日、性別、携帯電話番号、メールアドレス、会員ID、予約内容、被保険者の氏名（カナ）・生年月日・性別
• パスポートの画像は保存しておらず流出していないとしている

• (1)一部の管理機能を不正に操作され、そこから他のサーバーとクラウド上のデータにアクセスされた
• (2)業務管理システムの脆弱性を悪用された
• (3)バスの予約完了ページがログインなしで表示できる状態で、機械的に閲覧された（10/1 修正済み）
• 第2報：2018年6月以前の「skyticketプレミアム」会費支払いのログが削除されずサーバーに残っていた。暗号化に用いる情報も取得された
• 第3報：不要になったデータベースの複製（バックアップ）を削除せずクラウドに保管しており、不正に取得された認証情報で読み取られた。銀行口座情報と保険の氏名は暗号化されずに保存されていた

• 10/1：バス予約完了ページを修正
• 10/7 18時頃：保存済みクレジットカードによる支払いと、カード情報の保存機能を停止
• 10/8 19時頃〜：対象者へメール（info@skyticket.com）で順次連絡
• 10/9：第1報を公表。個人情報保護委員会に報告。不正アクセスの経路を遮断
• 10/13：電話窓口を開設
• 10/16：第2報。決済代行会社などに報告。該当ログの隔離作業を進めるとした
• 10/30：第3報。不正利用された認証情報の権限を削除。全桁が記録された12件はカード会社に不正利用の監視を依頼。保険の契約者への通知は後日送付。外部の専門調査会社によるフォレンジック調査を準備中
• 第3報で、第2報の「ベネフィット・ステーションの会員ID・氏名・パスワードも流出」を訂正（流出したのは同社内部で設定している会員IDと氏名で、ベネフィット・ステーションのものではない）