skyticket不正アクセスで1400万件超流出、航空券予約サイト利用者が今すぐ見直す備え

分析・見解

3件の侵入が別々に見つかったことの重い意味

不正アクセスが3件というのは、入口が一つではなかった可能性を示す。たとえば、サーバーの設定ミス、委託先の管理画面、利用者のログイン画面は、それぞれ別の入口になる。どれか一つを塞いでも、他が開いていれば被害は続く。入口が複数あれば、侵入者は見つかりにくい場所から静かに情報を抜き取れる。

1400万件という規模は、日本の人口の1割を超える。もちろん同じ人の情報が重複している場合もある。ただ、会員だけでなく、予約の途中で入力された情報や問い合わせ履歴まで含むなら、影響は会員数以上に広がる。

旅行予約サイトの情報が狙われやすい理由

旅行予約サイトには、氏名、生年月日、電話番号、メールアドレス、旅程といった情報が一か所に集まる。航空券は搭乗者の名前を正確に登録する必要があるため、入力される情報の精度が高い。犯罪者から見ると、偽の連絡文を作るための材料として質が良い。旅程が分かれば「搭乗便の変更のお知らせ」のような、もっともらしい偽メールも書ける。

過去にも、旅行・宿泊の予約サイトでは同種の事件が繰り返された。2016年には大手旅行会社JTBの子会社で、約793万人分の情報が流出する事件が起きた。今回の規模は、それを大きく上回る。

悪用が確認された1件が変える対応の優先順位

漏えいは「見つかった時点」で終わりではない。悪用が確認されたということは、情報がすでに誰かの手に渡り、使われているということだ。この段階では、原因調査よりも、利用者への連絡と注意喚起の速さが被害の大きさを左右する。会員向けのお知らせが遅れるほど、偽の連絡が先に届く危険が高まる。

流出した情報の使い道は主に三つある。一つ目は、偽メールや偽SMSによるフィッシング（＝本物そっくりの偽サイトへ誘導して情報を盗む手口）。二つ目は、他のサービスへのログイン試行。三つ目は、電話を使った詐欺である。同じパスワードを複数のサービスで使い回している人は、今回の被害とは別の場所で二次被害に遭うおそれがある。

安さの競争が守りの費用を削る構造

格安航空券の比較サイトは、1件あたりの手数料が小さい薄利の商売である。広告や送客の収益で成り立つため、利益を出すには利用者数を増やすことが先に立つ。一方、守りの費用は売上に直結せず、後回しにされやすい。「安い」ことを売りにする業界ほど、見えない部分の投資が削られる圧力が強い。この構造はskyticketだけの話ではない。利用者が会社を選ぶとき、価格だけでなく、事故後の説明の丁寧さも見る時代に入った。