大きな数字は、利用者の人数ではなく情報の件数

旅行予約サイト「スカイチケット」を運営するアドベンチャーは10月9日、不正アクセスによる顧客情報の流出を公表しました。主要な事案は10月2日から4日のサーバーへの不正アクセスで、10月5日に発覚しています。

流出した情報は約1,464万件。そのうち約413万件には、ハッシュ化されたログインパスワードが含まれます。約413万件は内数で、別に加わる人数ではありません。いずれも情報の件数であり、被害を受けた実人数とは異なります。

返金口座とバス予約は、別の経路による事案

同社は別に、業務管理システムへの不正アクセスと、バス予約情報を閲覧できる不備も説明しています。業務管理システムでは、返金用の銀行口座情報などを含む17,780件について、流出またはその可能性を公表。重複を含み、追加の範囲は調査中です。

バス予約では約12,000件の予約について、情報を閲覧された、または閲覧された可能性があるとしています。同行者が含まれる予約もあるため、この数をそのまま人数に置き換えることはできません。

カード情報や旅券の扱いも、事案を分けて見る

同社は、今回の各事案でクレジットカード情報やパスポート画像の流出はないと説明しています。一方、パスポート番号は、主要なサーバー事案には含まれませんが、別の業務管理システムの事案では調査中です。

「カード情報は対象外」という説明と、「返金用の銀行口座情報が対象に含まれる」という説明は両立します。旅行代の決済と返金で、会社に預けている情報が違う点に注意が必要です。

不正ログインで保存済みカードを使われることを防ぐため、同社は10月7日18時ごろから、保存済みカードによる支払いと、カード情報の保存機能を停止しています。

パスワード変更は、メールのリンクからではなく公式へ

スカイチケットは、会員にパスワードの変更を求めています。同じパスワードを他のサービスでも使っている場合は、そちらも変更するよう案内しています。ハッシュ値は元の文字列そのものではありませんが、変更せずに安心してよいという意味ではありません。

公式サイトやアプリを直接開いて手続きし、予約やカード利用明細にも心当たりのない動きがないか確かめてください。同社は、案内メールにパスワード入力用のリンクを載せないと説明しています。

まとめ

まずは公式サイトで対象情報と案内を確認し、会員パスワードと使い回しているパスワードを変更することが大切です。調査対象が複数あるため、自分が利用した予約や返金の内容に合わせて、今後のお知らせにも目を通したいところです。