ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、京成電鉄は2026年11月13日、特急スカイライナーの座席予約システムが第三者による不正アクセスを受けたと発表しました。チケットレスサービスに登録された利用者情報が最大約337万件取得された恐れがあり、同社は予約システムを全面停止しています。氏名や電話番号のほか、暗号化されたパスワードなどが影響を受けた可能性があります。
ビジネス＋IT（Yahoo!ニュース）：スカイライナー予約が全面停止 京成電鉄で不正アクセス、最大337万件の情報漏えいか
Web予約システムや会員向けポータルの不正アクセスリスクが気になる企業様へ、攻撃者の侵入経路を事前に洗い出す診断をご提案します。
この記事のポイント
影響を受けた可能性がある人・情報
- （個人）スカイライナーチケットレスサービスに会員登録していた利用者の情報（最大約337万件：ユーザーID、暗号化パスワード、カナ氏名、電話番号、メールアドレス）
- （企業）京成電鉄のスカイライナー座席予約システム全般（チケットレスサービス含む）
今すぐ取るべき対応
- （個人）チケットレスサービスと同じユーザーIDやパスワードを他社サービスで使い回している場合は、直ちに他社側のアカウントパスワードを変更する
- （個人）京成電鉄から後日届く個別連絡のメールを確認し、不審な電話やフィッシングメールに警戒する
- （個人）スカイライナーを利用する際は、オンライン予約の再開を待たず、駅の窓口または券売機で特急券を購入する
- （企業）Web会員システムのアクセスログや外部通信ログを調査し、不審な一括ダウンロードや認証試行がないか確認する【要確認：一次情報に記載なし】
この記事に出てくる専門用語
- チケットレスサービス：乗車券や特急券を紙で発券せず、スマートフォンやPCからオンラインで予約・乗車できる仕組みです。今回の事案では、このサービスに登録されていた会員情報が外部から不正に取得された可能性があります。
- 暗号化：データを特定の計算ルールを用いて第三者に読めない形式へ変換する処理です。京成電鉄は、漏えい対象に含まれるパスワードは暗号化されているため復元されることはないと説明しています。
スカイライナー予約システムで不正アクセスが発生した経緯
京成電鉄の発表によると、不正アクセスが発生したのは2026年11月11日の深夜でした。成田空港と都心を結ぶ特急スカイライナーの座席予約システムに対し、第三者が不正な接続を行った痕跡が確認されています。
同社は翌11月12日にチケットレスサービスの一時停止を告知し、11月13日に「お詫び」として不正アクセスと情報漏えいの可能性を公表しました。私たち診断側の視点では、深夜帯のアクセス検知から翌日中の一時停止という初動は迅速であったと評価できます。
発表時点では侵入の具体的な手口や原因となった脆弱性などの技術的詳細は明かされておらず、外部への持ち出しが完了したかどうかも「可能性」の段階にとどまっています。
最大約337万件の会員データに含まれる情報項目
ビジネス＋ITの報道によると、外部から取得された恐れがあるデータはチケットレスサービスに登録していた会員の情報で、対象件数は最大約337万件にのぼります。対象となった項目は次の5点です。
- ユーザーID
- パスワード（暗号化済み）
- カナ氏名
- 電話番号
- メールアドレス
パスワードに関しては暗号化されており復元されることはないと京成電鉄は説明しています。しかし、ハッシュ化アルゴリズムの強度によってはオフライン攻撃で解析される危険性も排除できないため、パスワードの使い回しをしている利用者は警戒を怠らない判断が求められます。
また、氏名・電話番号・メールアドレスが揃って流出した場合、これらを悪用した精巧な標的型フィッシングやSMS詐欺が行われるリスクが生じます。
京成電鉄が現在進めている予約機能の停止と窓口での販売対応
京成電鉄はセキュリティ強化を理由に、座席予約システム全般の運用を停止しています。オンライン上での予約手続きは全面停止となっており、再開の時期については明記されていません。
一方で、列車の運行自体に支障はなく、駅の窓口および自動券売機におけるスカイライナー券の販売は継続されています。現地での対面購入や現金・物理カードによる決済手段を残すことで、旅客輸送への影響を最小限に抑える運用を取っています。
システム全体を一度切り離して調査を進める手法は、不正アクセスの被害拡大を防ぐための定石です。
スカイライナーチケットレスサービスを利用していた人が取るべき対応
京成電鉄は、情報が取得された可能性のある顧客に対して登録メールアドレス宛に後日個別の案内を送る方針を示しています。利用者がまず警戒すべきは、この発表に便乗した偽のメールや不審な連絡です。
公式からの案内を装ってクレジットカード番号や別サービスのパスワードを入力させようとする誘導には応じず、送信元アドレスや公式告知の最新情報を必ず照合してください。
チケットレスサービスと同じパスワードやIDを他のWebサイトやアプリでも併用している場合は、他社サービス側のパスワードを速やかに別の安全な文字列へと変更します。
参考文献・記事一覧
外部公開している会員向けWebアプリケーションの脆弱性や認証機能の堅牢性を確かめたい方は、Webアプリケーションペネトレーションテストをご検討ください。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
