旅行予約サイトの会社で、3つの別々の経路から不正アクセスを受け、顧客情報約1,464万件が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、(1)約1,464万件：氏名、生年月日、メールアドレス、電話番号、住所、ハッシュ化パスワード（約413万件）。(2)17,780件：氏名、電話番号、返金先の口座情報など。(3)予約約12,000件：氏名、年齢、連絡先、乗車便の情報など。カード情報とパスポート番号は流出していないです。その後の対応と影響は、経路を遮断し脆弱性に対策した。10月7日18時ごろ保存済みカードでの支払いを停止した。対象者にメールで連絡し、個人情報保護委員会に報告した。会員1名への不正ログインを確認。業績への影響は精査中です。

原因になったのは「予約サイトの管理機能の不正操作ほか3つの経路」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

1件目は管理機能が不正に操作され、そこから他のサーバーとクラウドのデータに届いた。2件目は業務管理システムの脆弱性が使われた。3件目はバス予約完了ページにログインの確認がなく、第三者に機械的に閲覧された。管理機能が操作された具体的な手口は公表されていない。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 2026年8月3日〜10月1日バス予約完了ページが機械的に閲覧される（10月1日修正）
2. 9月20日業務管理システムに不正アクセス（9月28日発覚）
3. 10月2日〜4日管理機能の不正操作からデータに不正アクセス（10月5日発覚）
4. 10月7日保存済みカードでの支払いを停止
5. 10月9日公表

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

管理機能を社外から操作できる範囲と、予約完了ページなど個人情報を出す画面のログイン確認を定期的に点検していれば、複数の経路のうち一部は早く塞げた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. インターネットから届く管理画面と管理機能を一覧にする
2. 個人情報を表示するページがログインなしで開けないかを試す
3. 管理機能から他のサーバーやクラウドに届く権限を確認する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ2026.10.09
• skyticketで1464万件の個人情報流出か（@IT）2026.10.13