旅行予約サイト「skyticket」を運営するアドベンチャーは10月16日、有料会員サービス「skyticket プレミアム」の一部の利用者について、クレジットカード番号などが外部に流出したと発表した。対象は2017年2月から2018年6月までに会費の支払いでカードを登録または利用した最大6,140人で、10月9日の第1報にあった「クレジットカード情報は流出していない」という説明を訂正した。
今の skyticket はカード情報を自社で持たない方式をとっている。流出したのは、その方式に移る前、8年ほど前の記録だ。当時の会員だった人には、手元のカードの明細を見る理由ができた。
第2報で新たに分かったこと
同社によると、流出が判明したのは10月15日。第1報で伝えた10月2日から4日までの不正アクセスの調査を進めるなかで見つかった。
- 流出したカード情報: カード番号、カード名義人名、有効期限 (一部の人はカード番号のみ)
- 含まれていないもの: セキュリティコード
- あわせて流出したもの: 会員特典「ベネフィット・ステーション」を使うための会員 ID、氏名、パスワード
- 悪用の有無: 現時点で二次被害は確認されていない
どの情報も暗号化されていた。ただ、暗号化に使う情報も不正に取得されているため、読み取られるおそれがあると同社は説明している。
消したはずのカード情報が残っていた場所
skyticket は2018年6月まで、カード情報を自社のサーバーで保管していた。翌7月に、決済代行会社が預かるカード情報を呼び出して決済する方式へ移り、保管していたカード情報は削除した。
残っていたのは、プレミアムの会費の支払い情報を変更した履歴 (ログ) だった。この記録が削除されずにサーバーに残り、その中にカード情報が含まれていた。10月3日、不正アクセスによってこのログが取得されたことを同社は確認している。2018年7月以降の支払いや登録のカード情報は流出していないという。
利用者の側から見ると、「今はカード情報を持っていない」という説明は、昔も持っていなかったことまでは意味しない。方式を切り替えたサービスでも、切り替え前の記録がどこかに残りうる。同社は、プレミアム会費以外の2018年6月以前の支払いについても、カード情報が残っていないか確認を進めているとしている。
当時の会員が、いま確かめられること
同社が対象者に求めているのは次の点だ。
- 当時のカードの、今年10月以降の利用明細を見る。カードを更新しても番号が変わらないことがあるため、更新したカードも対象になる
- 身に覚えのない請求があれば、カード裏面に書かれたカード会社の窓口へ連絡する。再発行が不安な場合もそこで相談できる
- ベネフィット・ステーションを今も使っているなら、そのパスワードを変える。同じパスワードを他のサービスで使っていれば、そちらも変える
- アドベンチャー、カード会社、ベネフィット・ワンを名乗るメール・SMS・電話に注意する。同社からカード番号やパスワードを尋ねることはないという
手間がかかるのは、そもそも自分が対象かどうかを確かめるところだ。2017〜18年に有料会員だったかを覚えていない人もいるだろう。同社は連絡先が分かる対象者に順次メールで知らせるとしているが、当時のメールアドレスをもう使っていなければ、その知らせは届かない。その場合は、当時使っていたカードの明細を見るほうが早い。
カードを再発行するかどうかも、一律には決まらない。再発行すれば番号が変わり、公共料金やサブスクリプションに登録したカードを付け替える作業が出てくる。明細に異常がないうちは様子を見る、不安なら番号ごと変える。どちらを選ぶかは、カード会社に相談しながら決めればよい。
次に確かめたいのは、東京証券取引所の適時開示 (上場企業が投資家向けに出す開示) に載るアドベンチャーの続報だ。プレミアム会費以外の2018年6月以前の支払いでカード情報が残っていたかどうかは、そこで示される。問い合わせ窓口は03-5224-8859 (平日10時〜18時) と info@skyticket.com。
ことば
- skyticket プレミアム — skyticket の有料会員サービス。会員特典として、ベネフィット・ワンの福利厚生サービス「ベネフィット・ステーション」を使える。今回はその利用のための ID とパスワードも流出した。
- 決済代行会社 — 店に代わってカード情報を預かり、決済を処理する会社。店のサーバーにカード番号を置かずに済むため、店が攻撃を受けてもカード番号が漏れにくくなる。
- ログ (変更履歴) — システムが、いつ・何を変えたかを書き残す記録。本体のデータを消しても、ログ側に同じ情報が残っていることがある。
8年前に登録したサービスのうち、あなたのカード番号をいまも覚えているのはどこだろうか？
