10月の大量流出まとめ｜skyticket・バーガーキング・ローソンなど9サービスの件数と対処

01この記事でわかること

まず3行でまとめます。

• 規模：10月だけで、100万件を超える流出（またはそのおそれ）の発表が少なくとも9件ありました。最大はskyticketの約1,464万件です。
• 中身：多くは氏名・電話番号・メールアドレス・生年月日です。パスワード（変換した形を含む）が漏れたのはskyticket、ブックオフ、So-netの一部。カード情報はskyticketとローソンの一部です。
• やること：個人は、同じパスワードの使い回しをやめ、届いたメールやSMSのリンクを開かないこと。会社は、アプリの裏側の仕組み（API）を点検し、使わない古いデータを消すことです。

バーガーキング、カーセンサー、日本経済新聞社は個別の記事があるので、詳しくはそちらへリンクします。

0210月に何が起きたのか（全体像）

旅行予約、ハンバーガー店、コンビニ、古本チェーン、プロバイダー、求人、カラオケ、中古車、新聞社と、業種はばらばらです。侵入の経路も、各社の発表では次のように分かれます。

• アプリやサイトの仕組みの穴：ローソンは、アプリで本人に情報を表示するための仕組みが不正に使われたとしています。バイトルは「システムの一部機能における仕様の不備」を突かれたと説明しています。skyticketは、管理機能を不正に操作され、そこから別のサーバーとクラウドに入られました。
• 委託先のパソコンの感染：第一興商は、個人情報の扱いを任せていた会社の従業員のパソコン1台がマルウェア（悪意のあるプログラム）に感染しました。
• ログインに必要な情報の盗難：日本経済新聞社は、開発に使うクラウドに入るための認証情報が盗まれました。
• まだ調査中：バーガーキング、So-net、カーセンサー、ブックオフは、詳しい原因を公表していません。

大量の流出が続いたことを受けて、個人情報保護委員会やIPA（情報処理推進機構）、JPCERT/CC（国内の事故対応の調整機関）なども10月に注意喚起を出しています。内容は公的機関の注意喚起まとめと、JPCERT/CCのAPIへの攻撃の注意喚起で説明しています。

なお、9社の件数は足しません。「会員データ数」と「人数」を分けたり、「最大」の数だったりと、数え方が会社ごとに違うからです。

039つのサービスの発表を一覧で比べる

発表日の順に並べました。件数は各社の発表どおりです。「おそれ」は、漏れたと確定していないものです。

10月には、このほかにも大きな流出の発表がありました。当サイトでは、焼肉きんぐのアプリ、ミスターマックスのアプリ、ソースネクスト、CAPCOM ID、ふるさとチョイス、佐川急便、タイムズカーを個別の記事で扱っています。

04skyticket：約1,464万件、あとからカード情報の流出も判明

旅行の比較予約サイト「skyticket」を運営するアドベンチャーは、10月9日に第1報を出しました。発表によると、経路の違う3件の不正アクセスがありました。

• 会社のサーバーへの不正アクセス（10月2日〜4日）：管理機能の一部を不正に操作され、ほかのサーバーとクラウドのデータに入られました。対象は約1,464万件で、このうち約413万件には会員のログインパスワード（ハッシュ化した状態のもの）が含まれます。ハッシュ化とは、パスワードを元に戻しにくい形に変換して保存することです。氏名、生年月日、メールアドレス、電話番号、住所なども漏れ、パスポート番号は漏れていないとしています。
• 業務管理システムへの不正アクセス（9月20日）：脆弱性を悪用されました。17,780件（重複を含む）で、返金先の口座情報（金融機関名・口座番号・名義など）も対象です。
• バス予約の完了ページ（8月3日〜10月1日）：ログインしなくても表示できる状態になっており、機械的に閲覧されました。予約約12,000件が対象で、10月1日に直しています。

第1報では、カード情報は決済代行会社が保管しており、流出していないと説明していました。ところが10月16日の第2報で、これを訂正しています。2018年6月以前は、カード情報を自社のサーバーで保管していました。保管をやめたときにカード情報は消しましたが、有料会員「skyticketプレミアム」の会費の支払いに関する記録（ログ）が消されずに残っていました。このログが10月3日に取得されたということです。

対象は、2017年2月から2018年6月までにプレミアムの会費のためにカードを登録または利用した人で、最大6,140名です。カード番号、名義、有効期限が含まれ、セキュリティコードは含まれません。カード情報は暗号化されていましたが、暗号化に使う情報も取られたため、読み取られるおそれがあるとしています。会員特典のベネフィット・ステーションのID・氏名・パスワードも漏れました。

同社は10月7日、保存済みカードでの支払いを止めました。会員には、パスワードの変更と、同じパスワードを使うほかのサービスの変更を求めています。

05飲食・小売のアプリ：バーガーキング、ローソンID、ブックオフ

バーガーキング公式アプリ（10月15日）

ビーケー・ジャパンによると、10月2日〜7日に会員情報を管理するシステムへの不正アクセスがあり、10月13日に漏えいが分かりました。対象は約1,118万件です。会員ID、メールアドレス、氏名、電話番号、生年月日などが含まれます。カード番号は同社が持っておらず、パスワードの漏えいは確認されていないとしています。詳しくはバーガーキングの記事にまとめています。

ローソンIDとローソンアプリ予約（10月8日、24日に訂正）

ローソンは10月7日の調査で、9月12日〜14日に「ローソンID」、9月17日に「ローソンアプリ予約」へ不正アクセスがあったことを確認しました。ローソンIDは215万5,345件で、氏名、性別、電話番号、住所などが対象です。

10月24日には、漏れた項目を訂正しました。最初は「メールアドレス」と「メルマガ取得情報」も含めていましたが、詳しく調べた結果、これらは漏れておらず、かわりに「生年月日」が漏れた可能性があると分かりました。アプリ予約の26件では、氏名、電話番号、カード番号の一部が漏れています。

原因は、アプリで本人に情報を表示するための仕組みへの不正アクセスとしています。10月26日には、店舗検索を運営する委託先でも不正アクセスを検知し、店舗検索を止めたと追記しています。個別の案内は lawson_id@mailservice.lawson.jp または lawson_id@id.lawson.jp から届きます。

ブックオフ（10月9日、13日に第2報）

ブックオフグループホールディングスによると、10月4日〜6日に、国内のブックオフ事業の会員管理システムから会員情報が外部に取得されました。第2報で、会員データは642万7,735件、人数は638万3,279人（有効会員617万908人、退会会員21万2,371人）と確定しています。同じメールアドレスで登録された複数のデータを1人と数えたため、2つの数に差があります。

対象は、アプリ会員、オンラインストア会員、Web会員です。会員カードだけを使い、アプリやWebに登録していない人は対象外です。漏れたのは氏名、生年月日、メールアドレス、電話番号、住所、パスワードのハッシュ値、ポイントカード番号などで、10月16日の訂正で「職業」「ニックネーム」が加わりました。カードなどの決済情報と銀行口座は、このシステムで扱っていないため対象外です。同社は対象者にパスワードの変更を求めています。

06ネット・求人・カラオケ・クルマ・新聞：So-netほか5件

So-net・plala（10月27日）

ソニーネットワークコミュニケーションズによると、10月19日にSo-netの会員データベースが不正アクセスを受け、23日に確認しました。So-netの会員情報は214万1,986件（現会員186万9,771件、2026年3月以降の退会者27万2,215件）、plala（Sコース）は44万3,495件です。氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用IDが含まれ、会員のパスワードは漏れていません。

一方で、一部の有料・無料メールサービスでは、メールアドレスとそのパスワードが漏れました。表に出ているアドレス数を合わせると54,401件です。同社はこれらのパスワードを10月27日に初期化しており、該当する人はマイページから再設定が必要です。銀行口座の情報16件、パスワード再設定用の通知書7件の漏えいも確認しています。カード情報は含まれず、NUROなどほかのサービスでの漏えいは確認していないとしています。特設ダイヤルは0120-36-8887です。

バイトル・バイトルNEXT（10月9日）

ディップによると、10月6日にWebサイトの一部機能への不正アクセスを確認しました。漏れたのはメールアドレスだけで、最大388万5,771件です。原因は「システムの一部機能における仕様の不備を突いた、海外からの不正アクセス」としています。氏名、電話番号、パスワード、カード情報は含まれません。

第一興商（ビッグエコーなど、10月8日）

第一興商は、個人情報の扱いを任せていた日本コロムビアグループの従業員のパソコン1台がマルウェアに感染し、客の情報が漏れたおそれがあると発表しました。約872万4,000件で、内訳はビッグエコー関連約555万8,000件、DKダイニング関連約346万2,000件などです（重複約51万5,000件を引いた客の情報は約863万1,000件、従業員情報は約9万3,000件）。実際に外へ漏れたことは確認されていません。パスワードは含まれず、この情報だけではポイントは使えないとしています。10月26日の追記で、対象の可能性がある客にSMSで連絡していることと、送信元の番号を公表しています。

カーセンサーnet・C-MATCH（10月21日）

リクルートによると、10月17日に不審なアクセスを検知し、関連サービスを止めました。漏れた可能性があるのは最大370万9,551件です。販売店に問い合わせた利用者が321万421件で、多くは氏名と住所（原則は市区町村まで）です。パスワードと決済情報は含まれません。詳しくはカーセンサーの記事にあります。

日本経済新聞社（10月16日）

開発に使うクラウドサービスの認証情報が盗まれ、10月7日の未明から朝に不正アクセスを受けました。漏れたのは約183万件で、氏名やメールアドレスなどを含むものが約15万件、単体では個人を特定できない識別子だけのものが約168万件です。ほかの件とあわせて日経の記事で説明しています。

07自分が関係するか確かめる方法

各社とも対象者に個別に連絡するとしています。偽の「お詫びメール」に気をつけてください。

1. 使っているサービスを書き出す：上の表の9つのうち、登録したことがあるものを確かめます。退会した人も対象になることがあります。So-netとplalaは2026年3月以降の退会者、ブックオフは退会会員も含みます。
2. 届いた連絡の送信元を確かめる：ローソン、skyticket、第一興商は、送信元のアドレスや番号を公式発表に書いています。発表と違う送信元なら、偽物を疑ってください。
3. 確認は公式サイトかアプリから：メールやSMSのリンクではなく、自分でブックマークや公式アプリを開いて確かめます。So-netは、契約しているメールサービスをマイページで確認できるとしています。

08個人がやること：パスワードと偽の連絡への備え

パスワードの使い回しをやめる

パスワードに関わる情報が漏れたのは、skyticket（約413万件、ハッシュ化）、ブックオフ（ハッシュ値）、So-netの一部のメール、skyticketプレミアムの特典サービスです。ハッシュ化されていても、解析で元のパスワードが分かるおそれがあると、skyticketは説明しています。

怖いのは、同じパスワードをほかのサービスでも使っている場合です。漏れたIDとパスワードの組み合わせを、別のサイトで次々に試す攻撃を「リスト型攻撃」と呼びます（用語集：リスト型攻撃）。該当するサービスのパスワードを変えたら、同じものを使っているほかのサービスも変えてください。

• サービスごとに別のパスワードにする。覚えきれない分はパスワード管理アプリに任せる（パスワード管理の比較）
• 使えるサービスでは二段階認証（多要素認証）やパスキーを設定する
• 生年月日や電話番号をパスワードや暗証番号に使っていれば、変える。今回、多くのサービスで生年月日と電話番号が漏れています

偽のSMS・メール・電話に備える

漏れた情報で一番多いのは、氏名、電話番号、メールアドレス、生年月日です。本人の名前や生年月日が書かれた偽の連絡は、本物に見えやすくなります。skyticketは、返金や補償を名目に振込みや手数料、アプリのインストールを求める連絡に応じないよう呼びかけています。予約番号などを使い、予約の変更や追加料金を求める連絡にも注意が必要だとしています。

• 「お詫び」「返金」「再登録」のSMSやメールのリンクは開かない（用語集：スミッシング）
• 各社とも、メールや電話でパスワードやカード番号を聞くことはないとしています。聞かれたら偽物です
• skyticketプレミアムでカードを使っていた人は、10月以降のカードの明細を確かめ、不安ならカード会社に相談する

09会社がやること：会員データとアプリの守り方

各社の発表から読み取れる教訓を、中小企業でも取り組める形で整理します。

アプリの裏側の仕組み（API）を点検する

スマホアプリは、裏側で会社のサーバーとやりとりして情報を表示します。このやりとりの窓口をAPIと呼びます。ローソンは「本人に情報を表示するための仕組み」が不正に使われ、バイトルは「仕様の不備」を突かれ、skyticketのバス予約はログインなしで予約完了ページが見える状態でした。

見るべき点は、「ログインした本人の情報しか返さないか」「番号を変えて次々に問い合わせると、他人の情報が見えないか」「短い時間に大量の問い合わせが来たら止まるか」です。自社で確かめるのが難しければ、外部の脆弱性診断で、アプリとAPIを対象に入れて頼みます（用語集：脆弱性診断）。既知の攻撃を止めるWAFも基本の守りになります。

管理画面と認証情報を守る

skyticketは管理機能から、日本経済新聞社はクラウドの認証情報から入られました。管理画面は社外から誰でも開ける場所に置かない、管理者のログインには二段階認証を付ける、開発用のクラウドの鍵やパスワードを使い回したり置きっぱなしにしたりしない、といった点を確かめてください。

使わない古いデータを消す

skyticketのカード情報の流出は、8年前に保管をやめたはずのデータが、記録（ログ）の形で残っていたことが原因でした。So-netとブックオフでは退会した人の情報も漏れています。持っていないデータは漏れません。

• 退会者のデータを、いつ消すか決めて実際に消す
• 仕組みを入れ替えたときは、古いデータだけでなく、ログやバックアップ、作業用のコピーも探して消す
• パスワードは元に戻せない形（ハッシュ化）で保存する。暗号化する場合は、鍵を同じ場所に置かない

委託先も含めて監視する

第一興商は委託先のパソコンから、ローソンは店舗検索の委託先でも不正アクセスがありました。個人情報を預ける相手には、情報の持ち出し方や保管期間、事故のときの連絡方法を契約で決めておきます。自社の会員データベースから大量に読み出す動きをすぐに見つけられるよう、ログを残して見る仕組みも必要です。

事故への備えは事故への備え、漏えいの対策は情報漏えいのページでも探せます。

10まだ分かっていないこと

• 原因の詳細：バーガーキング、So-net、カーセンサーは、原因を調査中としています。ブックオフは、攻撃手法の詳細は公表を控えるとしています
• skyticketのほかのカード情報：プレミアムの会費以外で、2018年6月以前の支払いに関するカード情報がサーバーに残っていないか、確認中としています
• 第一興商で実際に漏れたか：おそれの段階で、外に漏れた事実は確認されていません
• 二次被害：skyticketで会員1名の不正ログインがあったほかは、各社とも発表時点で悪用を確認していないとしています
• 同じ攻撃者かどうか：9件のつながりについて、各社の発表には何も書かれていません。この記事も推測はしません

11よくある質問

12今後の予定と更新方針

この記事は、各社が続報を出したときに更新します。特に次の点を追います。

• skyticketの、2018年6月以前のほかのカード情報の確認結果
• バーガーキング、So-net、カーセンサーの原因の公表
• 第一興商の委託先の調査結果
• 11月以降に出る、大手サービスの新しい流出の発表

件数や項目は訂正されることがあります。最新の内容は、表のリンクから各社の公式発表を確かめてください。