アドベンチャーは10月16日、旅行予約サイト「skyticket」への不正アクセスに関する第2報を公表し、有料会員サービス「skyticketプレミアム」の利用者最大6140人のクレジットカード情報が流出したことを明らかにした。10月9日の第1報では、約1464万件の顧客情報が流出したことなどを発表する一方、クレジットカード情報の流出はないと説明していたが、その後の調査で判明したとして訂正した。

　新たに流出が判明したのは、2017年2月から2018年6月までに「skyticketプレミアム」の会費支払いのため、クレジットカードを登録または利用した顧客の情報。最大6140人が対象で、カード番号、名義人名、有効期限が含まれる。一部の利用者についてはカード番号のみが流出した。セキュリティコードは含まれていない。

　原因は、過去の決済システム移行時に削除されなかった記録がサーバー上に残存していたことによるもの。skyticketでは現在、決済代行会社がカード情報を保管する仕組みを採用しているが、2018年6月以前は自社サーバーにカード情報を保存していた。2018年7月のシステム移行時に保存情報は削除したものの、「skyticketプレミアム」の会費支払いに関するログが残っていた。

　同社によると、10月2日から4日に発生した不正アクセスのうち、3日に当該ログが不正取得された。カード情報は暗号化されていたが、暗号化に使用した情報も取得されており、内容を読み取られるおそれがあるという。2018年7月以降のカード登録・支払いに関する情報は流出していないとしている一方、2018年6月以前の同サービス会費以外の決済情報がサーバーに残存していないか、引き続き調査を進めている。

　また、同サービスの会員特典として提供する福利厚生サービス「ベネフィット・ステーション」を利用するための会員ID、氏名、パスワードも流出した。これらも暗号化されていたが、暗号化に用いる情報が不正取得されているため、読み取られるおそれがある。同社はサービス提供元のベネフィット・ワンにも報告した。

　今回の問題を巡っては、10月9日の第1報で、skyticketのシステムに対する異なる経路からの3件の不正アクセスを公表していた。このうち、10月2日から4日に発生した自社サーバーへの不正アクセスでは、約1464万件の顧客情報が流出。氏名、生年月日、メールアドレス、電話番号、住所などが含まれ、約413万件についてはハッシュ化されたログインパスワードも対象となった。

　さらに、9月20日に発生した業務管理システムへの不正アクセスでは、返金先の銀行口座情報などを含む1万7780件の情報が流出、または流出したおそれがあると説明。このほか、バス予約サービスでは約1万2000件の予約情報が第三者に閲覧された、または閲覧されたおそれがあることも判明していた。

　同社は不正アクセスの経路を遮断し、10月7日には保存済みクレジットカードによる決済とカード情報の保存機能を停止。今回新たに流出が判明したカード情報については、決済代行会社への報告や、サーバーに残存していたログの隔離作業を進めている。対象者には順次電子メールで個別に連絡するとともに、個人情報保護委員会など関係機関にも報告した。

　対象者には、10月以降のカード利用明細を確認し、少額であっても身に覚えのない請求があればカード会社に相談するよう呼びかけている。カードを更新していても番号が変わっていない場合があるとして、更新済みカードについても確認を求めた。また、ベネフィット・ステーションの利用者にはパスワードの変更を要請し、同社やカード会社などを装った不審なメール、SMS、電話への注意も促している。

　アドベンチャーは、引き続き流出範囲などの調査を進め、新たな事実が判明した場合は速やかに公表する方針。第1報の内容を訂正したことについて改めて謝罪するとともに、再発防止と情報管理体制の強化に取り組むとしている。