スカイチケットのカード情報流出、対象は？最大6140人・2017〜18年の会費払い【対象チェッカー付き】

航空券・ホテル予約サイト「skyticket（スカイチケット）」を運営するアドベンチャーが、10月16日、最大6,140人分のクレジットカード情報が流出した可能性があると発表しました。10月9日には「カード情報の流出はない」と説明していたため、「自分は対象？」「何をすればいい？」と不安になっている人が多い状況です。

この記事では、対象になる条件を図とチェッカーで整理し、いまやるべきことを順番にまとめます。

スカイチケットで何が起きた？2つの発表を整理

アドベンチャーは10月に入って、不正アクセスに関する発表を続けて行っています。大きく分けると次の2つです。

10月9日の時点では「クレジットカード番号は保持していないので流出していない」と説明していました。しかしその後の調査で、2018年6月まで自社サーバーでカード情報を扱っていた時期の変更ログがサーバー上に残っていたことがわかり、説明が訂正されました。

カード情報の対象者は？条件をチェック

報道によると、カード情報の対象は2017年2月から2018年6月までに、有料会員サービス「skyticketプレミアム」の会費をクレジットカードで登録または支払いした人です。2018年7月以降に使われたカードは流出していないとされています。ただし、会社は2018年以前のほかの決済記録が残っていないかも引き続き確認中です。

流出したのはカード番号・名義・有効期限で、一部の人は番号だけです。データは暗号化されていましたが、復号に必要な情報も取られていたため、中身が読み取られるおそれがあるとしています。セキュリティコードは含まれていません。

いまやるべきこと（優先順）

1. カード明細を確認する：対象期間にプレミアム会費を払った人は、10月以降の明細を中心に見覚えのない請求がないか確認。不審な請求があればすぐカード会社へ。
2. パスワードの使い回しをやめる：skyticketと同じパスワードを他のサービスで使っているなら、そちらを先に変更します。
3. ベネフィット・ステーション利用者はパスワード変更：会員特典として提供されていた福利厚生サービスのIDとパスワードも流出したと発表されています。
4. 「返金します」「カードを確認してください」などのメール・SMSに注意：流出した氏名やメールアドレスを使ったフィッシングが増えやすい時期です。リンクは開かず、公式アプリや公式サイトから確認を。

なぜ「流出なし」から訂正されたのか

報道によると、skyticketは2018年6月まで自社サーバーでカード情報を扱い、その後は決済代行会社に切り替えました。このとき、プレミアム会費の決済に関する変更ログがサーバーに残ったままになっていました。そのログに10月3日にアクセスされ、10月15日に流出が判明したという流れです。

カード情報を「持っていない」つもりでも、移行前の古いデータやログが残っていれば流出しうる、という典型的なケースです。会社は決済代行会社に不正利用の監視を依頼し、ログを外部から切り離したうえで、個人情報保護委員会などに報告したとしています。

ほかの情報漏えいとの比較

10月は大手サービスの情報漏えいが相次いでいます。件数だけでなく「カード情報やパスワードが含まれるか」で、やるべきことが変わります。

パスワードの変え方や優先順位は、ソースネクスト情報漏えいの記事で詳しくまとめています。

よくある質問