📡 Signal｜京成スカイライナーの予約システムに不正アクセス、最大337万件

京成電鉄は11月13日、成田空港と都心を結ぶ有料特急「スカイライナー」の座席予約システムに、11月11日深夜に第三者からの不正アクセスがあったと発表した。チケットレスサービスの利用者のユーザー ID、パスワード、カナ氏名、電話番号、メールアドレスが、最大約337万件取得された可能性がある。

京成は予約システム全般の利用を止め、スカイライナー券は駅の窓口と券売機だけで売っている。今週は自治体や決済サービスで数十万〜百万件規模の流出の公表が続いたが、今回はログインに使う ID とパスワードの組が含まれる点で、連絡先だけの流出と性質が違う。公表された範囲と、まだ分からないことを分けて見る。

公表された5項目と、カード情報の記載なし

京成の発表によると、取得された可能性があるのは次の5項目だ。

• ユーザー ID
• パスワード (暗号化されている)
• カナ氏名
• 電話番号
• メールアドレス

公表された項目に、クレジットカードの番号や住所は含まれていない。パスワードについて、京成は「暗号化されているため、第三者によって復元されることはございません」と説明している。どの方式で保管していたかは公表されておらず、外部から確かめる材料はまだない。

それでも、残りの4項目だけで、本人に宛てたもっともらしい連絡が作れる。氏名、電話番号、メールアドレスがそろえば、「予約システム停止に伴う払い戻し」などを名目に、京成を名乗る偽のメールや SMS を個人ごとに送れる。京成は対象者に、登録されたメールアドレスあてに後日個別に連絡するとしている。本物の連絡と偽の連絡が同じ時期に届きうるため、メール内のリンクからパスワードやカード番号を入力しないことが、利用者側でできる確実な備えになる。同じパスワードを他のサービスでも使っている場合は、そちらを変えておくのが先だ。

予約の入口が止まり、窓口と券売機に戻った

京成は「セキュリティ強化のため」として、スカイライナー座席予約システム全般の利用を停止した。再開の時期は示していない。駅の窓口と券売機では引き続きスカイライナー券を発売している。

予約システムの停止は、情報の流出とは別の影響を持つ。チケットレスで事前に座席を押さえていた利用者は、当日に駅で券を買う流れに戻る。空港アクセスの路線で、オンラインの予約と発券の入口が使えない状態が続いている。問い合わせ窓口は11月14日と15日も10時から15時まで受け付けている。

今週の流出の中で、337万件が意味するもの

今週は国内で大規模な流出の公表が続いた。

• 大阪市の行政オンライン — メールアドレス107万件
• 決済の Yeny — 電話番号133万件
• メール配信のユミルリンク — 延べ4,786万件で確定

件数ではユミルリンクが大きいが、京成の件は1人分の記録にログインの ID とパスワードがそろっている。連絡先の流出はなりすましの連絡に使われ、ログイン情報の流出はアカウントそのものの乗っ取りにつながりうる。

個人情報保護委員会は、不正アクセスなど不正の目的をもって行われたおそれがある漏えいや、本人が1,000人を超える漏えいを報告の対象とし、発覚から3〜5日以内の速報と、不正の目的のおそれがある場合は60日以内の確報を求めている。京成の今回の発表は、件数を「最大約337万件」としており、確定した人数と原因はこれからの調査で出てくる。

次に見るもの

最初の確認先は、京成電鉄のウェブサイトに出る予約システムの再開の告知と、不正アクセスの原因の調査結果だ。再開の時点で、利用者にパスワードの再設定を求めるかどうかが、京成がパスワードの安全性をどう判断したかを示す。個人情報保護委員会への確報は発覚から60日以内が期限で、来年1月の中旬までに当たる。

ことば

• チケットレスサービス — 紙の特急券を受け取らず、ウェブで予約・購入した情報をスマートフォンなどで示して乗車する仕組み。会員登録が前提になるため、予約システムに ID・パスワードと連絡先が蓄積される。今回取得された可能性があるのは、この登録情報だった。
• パスワードの暗号化 — 保存するパスワードを読めない形に変えて保管すること。元に戻せる「暗号化」と、戻せない一方向の変換 (ハッシュ化) があり、方式と鍵の管理によって安全性が大きく変わる。京成は方式を公表していない。
• 確報 — 個人情報の漏えいが起きた事業者が、個人情報保護委員会に出す最終の報告。発覚直後の速報のあと、原因や影響を受けた人数を確かめて提出する。不正アクセスなど不正の目的のおそれがある場合の期限は、発覚から60日以内。

🔗 一次ソース

• 京成電鉄「【お詫び】スカイライナー座席予約システムへの不正アクセスについて」(2026年11月13日・発生日時、取得された可能性のある5項目、最大約337万件、予約システム全般の停止)keisei.co.jp
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」(報告の対象となる事態、速報と確報の期限)ppc.go.jp
• NHK ニュースの投稿 (2026年11月14日)