📡 Signal｜skyticket、カード情報も最大6,140人分が流出

格安航空券サイト skyticket を運営するアドベンチャー (東証グロース・6030) は10月16日、10月初めに受けた不正アクセスで、クレジットカードの情報が最大6,140人分流出したと発表した。対象は2017年2月から2018年6月にかけて、有料会員サービス「skyticket プレミアム」の会費の支払いにカードを登録・利用した客で、カード番号・名義・有効期限が含まれる。セキュリティコードは含まない。

同社は10月9日の第1報で、カード情報は決済代行会社が保管しており「いずれの案件でもクレジットカード情報とパスポートの画像は流出しておりません」と説明していた。第2報はこの記述の一部を訂正した。カード情報そのものは8年前に消していたが、会費の支払いに関するログがサーバーに残っていた。

第1報から何が変わったか

第1報は、経路の違う3件の不正アクセスをまとめて公表したものだった。中心は10月2日〜4日に起きた自社サーバーへの侵入で、skyticket の管理機能の一部を不正に操作され、そこから他のサーバーやクラウド上のデータに入られた。流出したのは約1,464万件で、氏名 (パスポート表記を含む)・生年月日・メールアドレス・電話番号・住所・振込時の依頼人名義などが含まれる。うち約413万件は、ハッシュ化したログインパスワードも含む。

今回のカード情報は、この同じ侵入で10月3日に取られていた。同社がそれを把握したのは10月15日で、第1報から6日後になる。

消したはずのカード情報が、ログに残っていた

第2報によると、同社は2018年6月以前、カード情報を自社のサーバーに保管していた。その後、決済代行会社が保管する方式へ移り、そのときにカード情報そのものは消した。ところが、プレミアム会費の支払いに関するログ (変更履歴) は消されずにサーバーに残っていた。

ログは暗号化されていたが、暗号化に使う情報も不正に取られており、読み取られるおそれがあるという。会員特典「ベネフィット・ステーション」(ベネフィット・ワンが提供する福利厚生サービス) の会員 ID・氏名・パスワードも、同じログから流出した。2018年7月以降のカード情報は流出していない。プレミアム会費以外の支払いで、2018年6月以前のカード情報がサーバーに残っていないかは、まだ確認中としている。

2018年6月は、改正割賦販売法の施行で、カードを扱う加盟店にカード情報の非保持化か、国際基準 PCI DSS への準拠が義務づけられた時期と重なる。保管の主体を決済代行会社に移せば、自社が持つカード情報はなくなる。ただ、本体のデータベースから消しても、支払いの処理が残す履歴や控えの側に同じ情報が写っていれば、非保持は書類の上だけになる。今回の訂正は、その抜けが8年後に表に出た形だ。

利用者が確かめること

同社は決済代行会社とベネフィット・ワンに報告し、決済代行会社を通じてカード会社に不正利用の監視を頼んだ。現時点で二次被害は確認されていない。連絡先が分かる客には info@skyticket.com から個別にメールを送り、分からない客には公表をもって案内に代える。

同社は利用者に次の3点を求めている。

10月以降のカード利用明細に、覚えのない請求がないかを確かめる
カードを更新していても、番号が変わっていない場合があるので確かめる
ベネフィット・ステーションのパスワードを変える

問い合わせ窓口は電話 03-5224-8859 (平日10時〜18時) とメール info@skyticket.com。

次に見るもの

確認できる次の一点は、同社が調査中としている「プレミアム会費以外の、2018年6月以前のカード情報」の結果だ。アドベンチャーの適時開示と skyticket のお知らせに第3報として出る。業績への影響も精査中としている。利用者の側は、11月に届く10月分のカード明細が最初の確認先になる。

ことば

カード情報の非保持化 — 加盟店が自社のシステムでカード番号を保存・処理・通過させない状態にすること。決済代行会社の画面で入力させる方式が多い。2018年6月施行の改正割賦販売法で、PCI DSS 準拠と並ぶ加盟店の安全管理の原則になった。
セキュリティコード — カード裏面などに印字された3〜4桁の番号。ネットでの支払いで本人確認に使われる。今回の流出には含まれていない。

🔗 一次ソース

第1報から何が変わったか

消したはずのカード情報が、ログに残っていた

利用者が確かめること

次に見るもの

ことば

Related articles