旧バックアップから口座情報の流出を確認、カード情報と旅行保険情報も流出のおそれ｜不正アクセスによるお客様情報の流出に関するお詫び… ほか1件

• 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（第3報）：当社が2026年10月9日及び同月16日に公表いたしました「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（以下、それぞれ「第1報」及び「第2報」といいます。）に記載の当社サーバーへの不正アクセス（第1報「1．事案の概要」（1））について、その後の調査により、当社が保管していた決済に関するデータの一部が不正に読み取られ、返金先の銀行口座情報が流出したこと、並びにクレジットカード情報の一部及び旅行保険のお申込みに関する情報が流出したおそれがあることが判明いたしましたので、お知らせいたします。
• （1）返金先の銀行口座情報（流出）：対象：2022年3月1日から2024年5月までの間に、払戻し等のため返金先の銀行口座をご登録いただいたお客様
• 項目：金融機関名、口座種別、口座番号、口座名義（カナ）。お名前（漢字）、ご住所、メールアドレス、電話番号、暗証番号及びインターネットバンキングの ID・パスワードは含まれておりません。
• （2）クレジットカード情報の一部（流出のおそれ）：対象：2021年5月頃から2024年5月中旬頃までの間に、skyticket でクレジットカードによるお支払い手続きをされたお客様の一部
• 項目：カード名義、一部を伏せ字にしたカード番号（下4桁のみ、又は先頭6桁及び下4桁）、ブラウザの情報
• カード番号の全桁、有効期限及びセキュリティコードは含まれておらず、これらの情報のみでクレジットカードが決済に利用されることはないと考えております。ただし、このうち12件については、カード名義の欄にカード番号が入力されていたため、カード番号が全桁で記録されておりました（カード名義、有効期限及びセキュリティコードは含まれておりません。）。
• （3）旅行保険のお申込みに関する情報（流出のおそれ）：対象：skyticket で国内旅行保険（2023年9月から2024年5月までのお申込み分）又はキャンセル保険（2024年1月から同年5月までのお申込み分）にお申込みいただいたお客様、及び国内旅行保険の被保険者の方
• 2．原因：当社は、過去に取得したデータベースの複製（バックアップ）を、不要となった後も削除せずにクラウド上に保管しておりました。
• 第1報でお知らせした2026年10月2日から4日までの間の不正アクセスにおいて、不正に取得された認証情報が悪用され、この複製の一部が読み取られました。
• 調査の結果、読み取られたデータのうち、返金先の銀行口座情報を含む部分は外部に送信されたことを確認いたしました。
• その他の部分については、外部への送信の痕跡は確認されておりませんが、送信の可能性を否定できないため、流出したおそれがあるものとしてお知らせしております。
• また、銀行口座情報及び旅行保険のお名前の項目は、本来暗号化して保存すべきものでしたが、暗号化されずに保存されておりました。
• （1）フォレンジック調査の実施に向けた準備：調査会社の専門的な知見により、不正アクセスの経路及び流出した情報の範囲を詳細に調査し、結果がまとまり次第、速やかにお知らせいたします。
• （2）その他の対応：不正に利用された認証情報の権限を削除し、データベースの複製を読み取れない状態にいたしました。複製は、調査に必要な保全を行ったうえで、調査完了後速やかに削除する予定です。
• 決済代行会社に本件を報告し、全桁のカード番号が記録されていた12件について、カード会社による不正利用のモニタリングを依頼しております。
• 旅行保険のご契約者様への通知は、後日お送りさせていただきます。
• 銀行口座情報及びクレジットカード情報については、当社ではお客様のご連絡先と結び付けることができないため、当社ウェブサイト及び skyticket での公表をもってご案内に代えさせていただきます。
• 7．業績への影響：フォレンジック調査に要する費用を含め、本件が当社グループの業績に与える影響について現在精査中であり、今後、開示すべき事項が判明した場合には、速やかに開示いたします。

当社は下記のとおり、2027年6月期第1四半期決算説明会を開催いたします。