アドベンチャーは、旅行予約サイト「skyticket」への不正アクセスで、返金先の銀行口座情報が流出したほか、クレジットカード情報の一部と旅行保険の申込に関する情報が流出したおそれがあることが判明したことを明らかにした。
返金先の銀行口座情報は、2022年3月1日から2024年5月までの間に払い戻しなどのために口座を登録した利用者が対象で、件数は32,341件。項目は金融機関名、口座種別、口座番号、口座名義（カナ）。氏名（漢字）、住所、メールアドレス、電話番号、暗証番号、インターネットバンキングのID・パスワードは含まれない。
クレジットカード情報は、2021年5月ごろから2024年5月中旬ごろまでの間にカード決済を行った利用者の一部が対象で、件数は約936,000件（約414,000人）。項目はカード名義、一部を伏せ字にしたカード番号（下4桁のみ、または先頭6桁と下4桁）、ブラウザの情報。カード番号の全桁、有効期限、セキュリティコードは含まれていない。ただし、12件についてはカード名義の欄にカード番号が入力されていたため、全桁で記録されていた。
旅行保険の申込に関する情報は、国内旅行保険（2023年9月〜2024年5月申込分）またはキャンセル保険（2024年1月〜5月申込分）の申込者と国内旅行保険の被保険者が対象で、件数は約118,000件（約119,000人）。項目は契約者の氏名（カナ）、生年月日、性別、携帯電話番号、メールアドレス、会員ID、予約内容（便名、搭乗日、区間、旅行代金）、被保険者の氏名（カナ）、生年月日、性別。
アドベンチャーは、過去に取得したデータベースの複製（バックアップ）を、不要となった後も削除せずにクラウド上に保管していたと説明。10月2日から4日の不正アクセスで取得された認証情報が悪用され、この複製の一部が読み取られた。このうち銀行口座情報を含む部分は外部に送信されたことを確認した。その他の部分は送信の痕跡が確認されていないが、可能性を否定できないとしている。銀行口座情報と旅行保険の氏名の項目は、本来暗号化して保存すべきものだったが、暗号化されずに保存されていた。
不正に利用された認証情報の権限を削除し、データベースの複製を読み取れない状態にした。複製は調査完了後に削除する予定。決済代行会社に報告し、全桁のカード番号が記録されていた12件についてはカード会社に不正利用のモニタリングを依頼した。旅行保険の引受保険会社にも報告している。
被害の全容を確定させるため、外部の専門調査会社によるデジタル・フォレンジック調査の実施に向けて準備を進めている。
⇒詳細はこちら
