3件の事案と情報の範囲
会社の発表によると、主なサーバーへの不正アクセスは10月2日から4日に発生し、5日に発覚しました。skyticketの一部管理機能を不正操作され、サーバーやクラウド上のデータにアクセスされたとしています。対象情報は約1,464万件で、氏名、生年月日、連絡先、住所、振込依頼人名義、会員のログインパスワード（ハッシュ化されたもの）を含みます。このうち約413万件に会員パスワードのハッシュ値が含まれます。パスポート番号は流出していないとしています。
2件目は業務管理システムへの不正アクセスで、9月20日に発生し、9月28日に発覚しました。対象は重複を含む17,780件で、氏名、電話番号、返金先口座情報などが流出した、または流出したおそれがあります。メールアドレスや生年月日（68件）、住所（18件）を含む場合もあります。パスポート番号の流出は確認されていませんが、調査は継続中です。
3件目はバス予約サービスの予約情報で、8月3日から10月1日まで、ログインなしで表示できた予約完了ページを第三者が機械的に閲覧できる状態でした。対象予約は約1万2,000件で、同行者を含む人数はこれを上回る可能性があります。ページは10月1日に修正済みです。閲覧された可能性のある項目には、氏名、連絡先、乗車便・予約番号、予約日時、支払方法・金額などがあります。
同社はクレジットカード番号とパスポート画像を保存しておらず、今回のいずれの事案でもこれらは流出していないと説明しています。情報が悪用された二次被害は、業務管理システムのアカウント1件への不正ログインを除き確認されていません。
事業・業績への影響
会社は侵入経路の遮断や脆弱性への対策を実施し、対象者への連絡を進めています。保存済みカードによる決済とカード保存機能は、なりすまし購入を防ぐため10月7日夕方に停止したとしています。業績への影響は精査中で、具体的な費用や売上影響は未公表です。
情報の対象範囲、外部調査の結果、決済機能の再開時期、業績見通しへの影響が今後の確認点です。発表資料だけから費用や株価反応の因果関係を見積もることはできません。
関連記事
出典
確認日：2026年10月9日（日本時間）。