スカイマークは11月2日、社員と2008年以降の退職者の情報の一部が、社外または社内から閲覧できる状態だったと発表しました。原因は、社内向けファイルや記録をアクセス制限のない場所に保存していたことです。現在はいずれも閲覧できない状態にしたとしています。
顔写真・社員番号の区分は6,692人、パスワードなどを含むログ・データの区分は4,247人、別の入力記録の区分は5,467人です。区分ごとの人数を足して対象者の総数にはできません。また、入力記録の区分は社内ネットワークからのみ閲覧可能で、すべてがインターネット公開されていたという発表ではありません。
今回の発表は社員・退職者向けのシステムに関するもので、航空券購入者全員の情報が対象という案内ではありません。対象か分からない社員・退職者は、同社の公式発表にある個人情報問い合わせ窓口で確認してください。
対象情報と人数、見られた範囲を区分ごとに確認
| 区分 | 対象・人数 | 閲覧可能だった期間・範囲 |
|---|---|---|
| 社員の顔写真 | 顔写真・社員番号／6,692人 | 開始時期は特定できず、2026年10月21日まで |
| 社員向けシステムのログ・データ | 社員番号、氏名、ログイン時のパスワード、ログイン履歴、災害時義援金・社内投票の申込内容／4,247人 | 2008年7月から2026年10月21日まで |
| 社員向けシステムの入力記録 | 社員番号、氏名、生年月日、メールアドレス／5,467人 | 2008年5月21日から2026年10月28日まで。社内ネットワークからのみ閲覧可能 |
対象人数には退職者も含まれています。住所、電話番号、クレジットカード情報は含まれていないと説明されています。自分の情報がどの区分に含まれるかは、個別通知や公式窓口で確認が必要です。
同社は社員へ個別通知し、過去5年以内の退職者で連絡先を把握している方には電子メールで連絡したとしています。連絡先が不明な方には、ホームページへの掲載をもって案内するとしています。メールを受け取っていない方も、対象外とは言い切れません。
「見られる状態」と「実際の取得」を分けて考える
スカイマークは、残っているアクセス記録を確認した範囲では、第三者による情報取得の形跡や二次被害は確認されていないと説明しています。一方、記録が残っていない期間は閲覧がなかったと確認できないため、漏えいのおそれがあるとして個人情報保護委員会へ報告しました。
記録がない期間は、顔写真の区分が2025年6月8日以前、ログ・データと入力記録の区分が2026年1月5日以前です。「取得の形跡がない」という説明を、全期間にわたって第三者の閲覧がなかったという意味に広げることはできません。
ここで大切なのは、原因となる状態と、確認できた被害を分けることです。アクセス制限に不備があったことは確認されていますが、残っていない記録から実際の閲覧者を特定することはできません。同社は一連の不具合について、調査と対応を完了したとしています。
パスワードが含まれる記録は、今も使える？
ログ・データの区分には、システムへログインする際のパスワードが含まれていました。同社は定期的な変更を必須としており、アクセス記録がない2026年1月5日以前に記録されたパスワードは、すでに使用できないと説明しています。
この説明は、当該システムの古いパスワードについてのものです。他のサービスで同じ文字列を使い続けている場合、そのサービス側まで自動で変更されるわけではありません。心当たりがあれば、個別通知に従うとともに、使い回しを解消してください。
問い合わせの際にパスワード自体をメールへ書く必要はありません。同社や公的機関を名乗る連絡でも、パスワードや個人情報の入力を求められた場合は応じず、公式窓口へ確かめましょう。
URLを案内していなければ安全、とはいえない理由
公式発表では、ファイルのURLは社内外へ案内されておらず、ホームページからのリンクもありませんでした。それでも、URLを知っていれば閲覧できる状態だったとしています。
URLはファイルの場所を表すものです。リンクを外すことは、その場所への道案内を減らす効果はあっても、アクセスした相手を確認して閲覧を許可する仕組みにはなりません。ログイン後の画面にだけリンクを置いていても、ファイルのURL自体を開けるなら、そのファイルは別途保護する必要があります。
情シス担当者が、自社でも点検したい場所
今回の発表を踏まえ、自社で点検する場合は、画面の見た目より「ファイルそのものへ誰がアクセスできるか」を確認します。以下は一般的な点検項目であり、スカイマークの具体的なサーバー構成を示すものではありません。
| 点検対象 | 確かめる内容 |
|---|---|
| 社員証用の写真・人事資料 | ログインしていない別のブラウザーから直接URLを開けないか |
| ログ・CSV・バックアップ | Web公開フォルダーや公開ストレージに置かれていないか |
| 社内専用の記録 | 社内からでも、業務上必要な人だけが見られるか |
| ログの出力項目 | パスワードや認証トークンをそのまま記録していないか |
| 監査用の記録 | 必要な期間の記録を保管し、改変・削除から保護しているか |
確認は自社が管理し、点検を許可された環境で行います。資料のURLを探して社外のシステムへアクセスしたり、社員の実データを検証用に持ち出したりする必要はありません。まずテスト用ファイルで権限を確認し、実データの公開設定を担当者と照合してください。
アクセス制限を直した後も、古いコピー、別の保存先、作業用の書き出しファイルを確認します。画面側のログインを直すだけでは、別の場所に残ったファイルまで保護されるとは限りません。
よくある質問
航空券を買った人も、全員が対象ですか？
今回の11月2日発表が対象とするのは社員・退職者の情報です。航空券購入者全員への情報漏えいを知らせるものではありません。
6,692人、4,247人、5,467人を足してよいですか？
足せません。異なる記録の対象人数で、同じ人が含まれる可能性があります。公式資料も、区分別に示しています。
退職して5年以上たっていれば対象外ですか？
対象外とはいえません。情報の対象には2008年以降の退職者が含まれます。「過去5年以内」はメールで連絡した退職者についての説明で、対象情報の保存期間とは異なります。
出典・確認日
スカイマーク：社員および退職者の個人情報が閲覧できる状態にあった件（11月2日、PDF）
確認日：2026年11月3日（日本時間）。停止・復旧状況や調査結果は、リンク先の最新のお知らせもご確認ください。
