「カード番号は含まれない」が覆った。消し忘れたログ8年分

• 第1報の「カード番号は流出していない」が訂正された
• 原因は2018年の移行時に消し忘れたログ
• 暗号化していたが、暗号化に用いる情報も取られた

アドベンチャーが10月16日、旅行予約サイト「skyticket」への不正アクセスについて第2報を公表した。

この数日、続報で範囲が増えた例も減った例も見てきた。今回は「無い」と言っていたものが「あった」に変わった。いちばん重い方向の訂正になる。

何が訂正されたか

公式は、冒頭ではっきり書いている。

第1報では「当社はクレジットカード番号を保有しておらず、カード番号は流出した情報に含まれていない」とお知らせしておりましたが、その後の調査により、上記のとおり判明いたしましたので、第1報の内容を訂正させていただきます。

この秋の各社が「カード情報は保持していない」と書いてきたのと、まったく同じ形の文言だった。それが覆った。

流出した内容

加えて、会員特典である福利厚生サービスの会員ID、氏名、パスワードも流出している。

原因は「消し忘れ」だった

ここが読みどころになる。公式の説明を追う。

1. 現在は決済代行会社に保存されたカード情報を呼び出す方式で、自社サーバーにカード情報を保管していない
2. しかし2018年6月以前は、カード情報を自社サーバーで保管していた
3. 移行の際、保管していたカード情報は削除した
4. ところが会費の支払いに関する記録（ログ）が削除されずに残っていた

つまり本体は消したが、ログが残っていた。

ログは「データ」として扱われにくい

移行作業で意識されるのは、本番のデータになる。顧客テーブル、決済テーブル。そこは消した。

一方でログは記録であって、データではないという感覚で扱われやすい。残しておいても害は無い、むしろ後から追えるので残したい、と考える場面すらある。

ところが決済の変更履歴のログには、カード情報そのものが書かれていた。

確認する項目に足すとしたら、これになる。

• ログに何が書かれているか — 中身を見たことがあるか
• 移行で消す対象に、ログは入っているか — テーブルだけ見ていないか
• ログの保存期間は決まっているか — 決めていなければ8年残る

保有期間の話は免許証の画像を持たないことにした件やヤマトの8年分でも書いた。今回は消したつもりだったのが違いになる。

暗号化していたが、鍵も取られた

そして、この一文になる。

カード情報は暗号化されておりましたが、暗号化に用いる情報も不正に取得されているため、カード情報が読み取られるおそれがございます。

福利厚生サービスのパスワードについても、同じ説明が繰り返されている。暗号化されていたが、暗号化に用いる情報も取得されているため読み取られるおそれがある。

2日続けて同じ形になった

前日に書いたStudioの件が、まったく同じ構造だった。暗号化はしていた。復号に必要な鍵が同じ侵入で読み出された。

無関係の2社が、2日続けて同じ説明をしている。鍵をデータと同じ場所に置くという形が、それだけ一般的だということになる。

暗号化は「保存先を見られても読めない」ための仕組みだ。鍵が同じところにあれば、まとめて持っていかれる。同じことはACCESSの件でも起きていて、あちらはメール送信の鍵だった。

対象の人がすること

公式の依頼が具体的なので、そのまま読むのがいい。

1. 該当期間にカードを登録・利用したなら、本年10月以降の利用明細を確認する
2. カードを更新していても確認する — 更新しても番号が変わらないことがある
3. 少額でも身に覚えのない請求があれば、カード裏面の窓口に連絡する
4. 福利厚生サービスを今も使っているなら、パスワードを変更する（手続きは別途案内）
5. 同じパスワードを他で使っているなら、そちらも変更する

2番目は見落としやすい。更新＝番号が変わる、とは限らない。有効期限だけ変わって番号は同じ、という場合がある。

3番目の「少額であっても」も重要になる。試しに小さな額を通すという形があるので、金額の大小で判断しない。

問い合わせについての注意

公式は、こうも書いている。

恐れ入りますが、対象であるかどうかについての個別のお問い合わせにはお答えいたしかねますのであらかじめご了承ください。

つまり「自分が対象か」は聞いても分からない。連絡先が分かる対象者には個別にメールが来るが、来ない人もいる。

2017年から2018年の話なので、当時のメールアドレスが生きていない人は少なくないはずだ。心当たりがあるなら、連絡を待たずに明細を見るほうが早い。

連絡元は info@skyticket.com と明記されており、カード番号・有効期限・セキュリティコード・パスワードを聞くことはなく、メール内のリンクからカード情報の入力を求めることもないとされている。

まだ調査中の部分がある

見落とせない一文がある。

「skyticketプレミアム」の会費以外の2018年6月以前のお支払いに関するカード情報が当社サーバーに残っていないかについては、現在確認を進めており、判明次第お知らせいたします。

今回判明したのは会費の支払いに関するログだ。同じ時期の、他の支払いのログがまだ確認中になる。

つまり対象がさらに増える可能性がある。第2報も最終ではない。

まとめ

• 第1報の「カード番号は含まれていない」が訂正された
• 対象は2017年2月〜2018年6月のプレミアム会費支払い、最大6,140名
• 項目はカード番号・名義人名・有効期限。セキュリティコードは含まれない
• 原因は決済方式の移行時に消し忘れたログ。本体は消していた
• 暗号化していたが、暗号化に用いる情報も取られた
• カードを更新していても番号が変わらないことがある。明細を見る
• 会費以外の支払いのログは、まだ確認中

出典

• 株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第2報）」（2026年10月16日）（第1報の訂正、流出した情報と人数、原因となったログ、暗号化に用いる情報の取得、同社の対応、利用者への依頼、連絡方法、確認中の事項）

本記事は2026年10月17日時点で公表されている内容に基づく。会費以外の支払いに関するカード情報については確認中とされており、対象が追加される可能性がある。本記事は法的な助言ではない。