スカイマークのWebフォームからの個人情報流出（CDNキャッシュ設定不備・最大41件）
公表日
スカイマークの公式サイトの入力フォーム5件で、最大41件（お客様33件、採用応募者8件）の個人情報が、別の人の入力画面に一時的に表示される状態になっていました。
対象者は？
2025年8月19日から10月3日の間に、同社サイトの変更・キャンセル申請フォーム（3件）または採用に関する問い合わせフォーム（2件）を使った方のうち、最大41件。お客様分は搭乗日、便名、予約番号、搭乗者名、メールアドレス、電話番号、支払方法が含まれ、うち4件は口座情報も含まれます。応募者分は氏名、学校名・会社名、学部名・部署名、メールアドレス、お問い合わせ内容です。クレジットカード情報が含まれるとは発表されていません。
対象の方には、2025年10月9日にスカイマークからメールで個別に連絡が行われています。連絡が届いていない場合は、公式のお知らせを確認してください。
いますぐできること
- 2025年8月19日から10月3日にスカイマークのサイトで該当フォームを使った方は、10月9日付のメールが届いていないか確認する。
- スカイマークを名乗るメールや電話には、すぐに応じず、公式サイトに載っている連絡先で確認する。
- 口座情報が含まれていた場合は、通知メールの案内に従い、不審な取引がないか口座の明細を確認する。
何が起きたのか
スカイマークは2025年8月19日に、サイトの高速化と負荷軽減のためCDNというサービスを導入しました。その後、入力フォームに入れた情報が、別の人の入力画面に表示されることがありました。10月3日に、お客様が予約Web申請フォームの確認画面に他人の情報が出ていると相談室へ連絡し、問題がわかりました。同社は同日中に設定を変更して表示を止め、個人情報保護委員会へ報告しました。10月9日に対象の方へメールで連絡し、10月14日に公式サイトで発表しました。
なぜ起きたのか・なぜ広がったのか
公式発表によると、CDN導入の際に、本来は一時保存の対象から外すべき設定が行われていませんでした。そのため、入力された情報がCDNの一時保存用のサーバーに残り、別の人が入力するときに表示されることがありました。外部からの侵入ではなく、同社の設定不備共有範囲やアクセス権の設定を誤り、本来は見えてはいけない情報が、他の人やインターネットから見える状態になってしまうことです。攻撃がなくても漏えいが起きます。クラウドの共有リンクや「全員に公開」の設定で起きやすい事故です。によるものとされています。第三者が意図的に取得したかどうかは発表されていません。
いまの状況2025-10-14 時点続報待ち
2025年10月14日の発表時点で、設定は修正済みで、不正利用は確認されていません。再発防止として、DX本部でのキャッシュ設定の承認手続きと多重チェック体制を見直し、管理体制を作り直すとしています。続報や補償については、まだ発表されていません。
企業として考えたいこと
自社のWebサイトで、個人情報を入力するフォームや確認画面が、CDNなどの仕組みで一時保存されない設定になっていることを、誰がどのように確かめていますか。
技術的な要約
スカイマークは2025年10月14日、同社サイトの入力フォーム計5件から、最大41件（お客様33件、採用応募者8件）の個人情報が第三者の入力画面に一時的に表示され閲覧可能な状態だったと発表した。原因は、2025年8月19日に高速化・負荷軽減のためCDNサービスを導入した際、チェック体制の不備により本来キャッシュ対象外とすべき設定が行われなかったことである。入力された個人情報がCDNのキャッシュサーバー上に一時保存され、別の人の入力時に表示された。流出期間は8月19日〜10月3日で、10月3日に利用者からの問い合わせで判明し、同日に設定を変更して解消、個人情報保護委員会へ報告した。10月9日に対象者へメールで個別連絡し、現時点で不正利用は確認されていない。再発防止としてDX本部のキャッシュ設定の承認プロセスと多重チェック体制を見直すとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部攻撃者による侵入ではなく、公式発表では「当社の設定不備」「チェック体制の不備により、本来ならばキャッシュ対象外とすべき設定が行われず」生じた事象とされる。第三者による意図的な取得の有無は公表されていない。
- 脆弱性
- CVE 非公表公表で確認CDNサービス（製品名非公表）2025年8月19日の導入時に、個人情報など常に変わるデータを「キャッシュ対象外」とする設定がされておらず、入力された個人情報がキャッシュサーバー上に一時保存され別の人の入力時に表示された。10月3日に該当5フォームをキャッシュ対象外とする設定変更で解消。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止は公表されていない。
- データ
- おそれ上限 41確定 —件氏名メール電話口座取引先情報その他最大41件（お客様33件、応募者8件）。お客様分（変更・キャンセル申請フォーム）は搭乗日、便名、予約番号、搭乗者名、メールアドレス、電話番号、支払方法、うち4件は口座情報を含む。応募者分（採用問い合わせフォーム）は氏名、学校名・会社名、学部名・部署名、メールアドレス、お問い合わせ内容。第三者の入力画面に一時的に表示され閲覧可能な状態だったもので、現時点で不正利用は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や他組織への波及は公表されていない。
時系列
技術解説
事案の経緯と対象範囲 事実
スカイマークは2025年10月14日、同社サイトの入力フォーム計5フォームで、同社の設定不備により最大41件（お客様33件、応募者8件）の個人情報が第三者の入力画面に一時的に表示され、閲覧可能な状態だったと公表した。対象は変更・キャンセル申請フォーム3件と、採用に関する問い合わせフォーム2件である。期間は2025年8月19日から10月3日まで。10月3日に利用者がお客様相談室へ、予約Web申請フォームの確認画面に他人の個人情報が反映されていると連絡し、事象が判明した。同日、DX本部が調査して他のフォームでも同様の問題を確認した。同日中に設定を変更して解消し、個人情報保護委員会へ報告した。10月9日に対象者へメールで個別に連絡した。
表示が起きた仕組みと原因 事実
スカイマークは、ウェブサイトの高速化と負荷軽減を目的として、2025年8月19日にCDNサービスを導入した。公式発表によると、その際に同社のチェック体制の不備により、本来キャッシュ対象外とすべき設定が行われなかった。報道では、個人情報など常に変わるデータはキャッシュ対象外とする設定が必須とされている。この設定不備により、お客様が入力した個人情報がCDNのキャッシュサーバー上に一時的に保存され、別の方が入力する際に誤って表示されるケースが発生した。10月3日に、該当5フォームをキャッシュ対象外とする設定変更を行い、事象は解消した。CDNの製品名は公表されていない。
表示された情報の内容と現時点の確認状況 事実
変更・キャンセル申請フォームの33件には、搭乗日、便名、予約番号、搭乗者名、メールアドレス、電話番号、支払方法が含まれ、うち4件には口座情報が含まれていた。採用に関する問い合わせフォームの8件には、氏名、学校名・会社名、学部名・部署名、メールアドレス、お問い合わせ内容が含まれていた。件数は最大41件と公表されており、流出が確定した件数の別途の発表はない。スカイマークは、現時点で個人情報の不正利用は確認されていないとしている。再発防止策として、DX本部におけるキャッシュ設定の承認プロセスと多重チェック体制を抜本的に見直し、管理体制を再構築するとしている。
検知経路と設定管理についての見方 解釈
公表内容からは、この事象が社内の監視ではなく、利用者からの問い合わせをきっかけに判明したことが読み取れる。導入から判明までは約6週間で、その間に表示が起きた件数が41件とされている。外部からの侵入を伴わない事案でも、入力内容が別の利用者に見えるという形で情報の機密性が損なわれうる点は、CDN導入時の共通の論点と考えられる。公式発表が挙げた原因はチェック体制の不備であり、特定の担当者や工程の問題と断定できる材料は公表されていない。また、導入前の確認項目や導入後の動作確認の内容は明らかでないため、効果的だった対策の評価は、続報を待つ必要がある。
対応
- 封じ込め
- 2025年10月3日にCDNサービスの設定を変更し、該当5フォームをキャッシュ対象外とする設定変更を完了。事象は解消した。
- 公表の仕方
- 10月3日の判明後、10月9日に対象のお客様・採用応募者へメールで個別連絡し、10月14日に公式サイトで「お詫びとご報告」を公表した。
- 当局対応
- 個人情報保護委員会（2025年10月3日に報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 個人情報を含む動的ページや入力フォームは、CDNのキャッシュ対象から外す必要がある。 | フォームのURLやPOST応答、確認画面にCache-Control: no-store（またはprivate）を付与する。CDN側でも該当パスにキャッシュバイパスのルールを設定し、設定をコード化して管理する。 |
| CDNなど配信基盤の導入・変更時は、承認と多重チェックの対象にする必要がある。 | CDN設定変更をIaCで管理してレビューを必須にする。導入前チェックリストに「個人情報を扱う全パスのキャッシュ除外」を含め、承認者を作成者と分ける。 |
| 導入後に、異なる利用者・端末からの表示内容を確認する試験が有効である。 | 本番導入直後に、別セッションから同一フォームを操作して他者の入力値が混ざらないかを確認する自動テストを用意する。応答ヘッダのAgeやX-Cacheなどのキャッシュ状態も検証項目に加える。 |
| 利用者からの違和感の報告は、事象検知の重要な入口になる。 | お客様相談室からIT部門へのエスカレーション手順と連絡先を定め、「他人の情報が見える」という申告を最優先の区分とする。受付から調査開始までの目標時間も決めておく。 |
| 同種の設定不備が他のフォームにもないか、水平展開で確認することが重要である。 | 事象が見つかった時点で、サイト内の全フォームと認証後ページを洗い出し、キャッシュ可否をスクリプトで一括検査する。結果は設定台帳に残す。 |
自組織などでの確認項目
- 自組織のCDNやリバースプロキシで、個人情報を含むページがキャッシュ対象から外れていることを、どの方法で確認できるか。
- 本番環境でCDNやWAFの設定を変更する際、作成者とは別の承認者によるレビューと、変更後の動作確認の手順は定められているか。
- 利用者から「他人の情報が表示された」と連絡があった場合、受付窓口からIT部門と個人情報保護の担当部門へ、どのくらいの時間で伝わるか。
未解明点
- 利用したCDNサービスの製品名や、導入前のレビュー・導入後の確認がどのように行われていたかは、公表されていない。
- 最大41件のうち、実際に第三者の画面に表示された件数や、第三者が内容を閲覧・保存したかは、公表されていない（流出確定件数は未公表）。
- 公式の続報や、個人情報保護委員会の対応の有無は確認できておらず、再発防止策の実施状況もまだ発表されていない。
出典
- 1Aviation Wire2025-10-14報道本文確認済
- 2Aviation Wire2025-10-14報道本文確認済
- 3スカイマーク株式会社2025-10-14公式本文確認済