要点3行

  • 旅行予約サイト「スカイチケット」を運営するアドベンチャーは28日、不正アクセスで、クレジットカード情報約93万6000件（約41万4000人分）の一部が漏れた恐れがあると発表しました。
  • 同じ日、生花通販の花キューピットは会員情報が最大約423万件、日本航空は約9万2000人分の情報が漏れた可能性があると発表しました。
  • スカイチケットと花キューピットは、不審な連絡やメールに注意するよう呼びかけています。

何が起きたか

スカイチケット 漏れた恐れがあるのは、カードの名義や番号の一部（下4桁など）です。2021年5月ごろ〜2024年5月中旬ごろにカード払いの手続きをした客の一部が対象です（朝日新聞・読売新聞）。

払い戻しなどのために銀行口座を登録した客の情報3万2341件も流出しました。金融機関名・口座番号・名義が含まれ、暗証番号やネットバンキングのIDは含まれないとしています。国内旅行保険などの申込者の約11万8000件（氏名、携帯電話番号など）も流出した疑いがあります（読売新聞・TBS）。TBSによると、原因はクラウド（ネット上のデータ置き場）にデータの複製を消さずに保管していたことです。

花キューピット 10月14〜15日に不正アクセスを受け、19日に流出を確認しました。漏れた可能性があるのはメールアドレスやユーザーID（会員ID）などで、氏名・住所・電話番号・クレジットカード情報は含まれないとしています。読売新聞によると、パスワードも含まれます。不正利用などの二次被害は確認されていません。

日本航空 子会社の日本トランスオーシャン航空を含め、旅客サービスシステムの委託先（スペインの企業）が不正アクセスを受けました。氏名や予約番号などが漏れた可能性があり、うち約2000人分はパスポート番号なども含みます。クレジットカード番号は漏れておらず、不正利用は確認されていないとしています。対象者には個別に連絡します（日テレ）。

背景（なぜ今これが起きたのか）

スカイチケットは10月9日にも、会員の氏名・住所・電話番号など約1464万件の流出を発表していました。今回は、その後の調査で新たな被害が分かったものです。この数日、ほかの企業でも情報流出の発表が続いています（編集部の10月26日・27日分の記事でも扱いました）。ただ、今回の3社の件が同じ攻撃や同じ原因によるものかは、報道では示されていません。

あなたへの影響

スカイチケットを使ったことがある人は「それらしい連絡」を疑う カード番号が丸ごと漏れたわけではありません。ただ、名前や番号の一部を知る相手から、カード会社や払い戻しの担当を名乗る連絡が来ると、本物らしく見えやすくなるとみられます。同社は、金融機関などを装った不審な連絡に注意するよう求めています。メールやSMSのリンクからは手続きせず、カード裏面の電話番号や公式アプリから自分で確かめるとよさそうです。カードの利用明細に見覚えのない請求がないかを見ておくのも一つの方法です（この2つは会社の呼びかけではなく、編集部の提案です）。

花キューピットの会員は、パスワードの使い回しを見直す 同じパスワードをほかのサービスでも使っている場合は、そちらも変えておくと安心です（編集部の提案。パスワードの流出は読売新聞の報道によります）。同社は対象の会員にメールで連絡しています。

今後の注目点

  • スカイチケットの調査で、さらに被害が見つかるか
  • 3社で二次被害が出るか、原因がどこまで明らかになるか