Adventure, l’entreprise japonaise qui exploite skyticket, un site de comparaison et de réservation de billets d’avion à prix réduits, a annoncé le 9 octobre trois accès non autorisés distincts. Le plus grave, survenu du 2 au 4 octobre, porte sur environ 14,64 millions de fiches clients, dont quelque 4,13 millions contiennent un mot de passe de connexion stocké sous forme hachée. L’entreprise appelle ses clients à se méfier des appels, SMS et courriels qui évoquent un remboursement ou un dédommagement.
Trois intrusions, trois portes d’entrée différentes
Selon INTERNET Watch, le site d’information technologique de l’éditeur Impress, et @IT, du groupe ITmedia, les trois incidents n’ont pas la même origine. C’est l’enseignement principal de l’affaire : une plateforme de réservation expose bien plus qu’un formulaire de paiement.
Le premier incident, le plus massif, a été repéré le 5 octobre. Des fonctions d’administration de skyticket ont été actionnées frauduleusement, ce qui a permis aux intrus d’atteindre d’autres serveurs ainsi que des données conservées dans le cloud. Les informations exposées comprennent les noms, y compris dans leur graphie de passeport, les dates de naissance, les adresses électroniques, les numéros de téléphone, les codes postaux et adresses, ainsi que le nom des personnes ayant réglé par virement. L’entreprise assure que les numéros de passeport n’ont pas fuité.
Le deuxième remonte au 20 septembre et a été découvert le 28 : une vulnérabilité du système de gestion interne a été exploitée. Environ 17 780 enregistrements sont touchés, un chiffre provisoire qui inclut des doublons. Ils contiennent notamment des noms, des numéros de téléphone et les coordonnées bancaires servant aux remboursements : établissement, agence, type et numéro de compte, titulaire. Pour ce lot, aucune fuite de numéro de passeport n’est confirmée, mais l’enquête continue. C’est à cette intrusion que l’entreprise rattache le seul abus constaté au 13 octobre, une connexion illégitime au compte d’un membre.
Le troisième relève d’une erreur de conception. Du 3 août au 1er octobre, la page qui confirme une réservation de bus s’affichait sans qu’il soit nécessaire de se connecter, et des tiers l’ont consultée de manière automatisée. Environ 12 000 réservations sont concernées, avec le nom, l’âge, le sexe, le courriel, le téléphone et l’identifiant du client, le moyen et le montant du paiement, le trajet et les noms des accompagnants. Le défaut a été corrigé le 1er octobre.
Ce qui est épargné, et les mesures prises
Adventure explique ne conserver ni numéros de carte bancaire ni images de passeport : ces données, dont les premières sont gérées par un prestataire de paiement, ne figurent dans aucun des trois incidents. Par précaution, selon @IT, l’entreprise a malgré tout suspendu le 7 octobre vers 18 heures le paiement avec une carte enregistrée et la possibilité d’en enregistrer une, pour empêcher des achats frauduleux.
Elle indique aussi avoir coupé les voies d’accès utilisées, corrigé la vulnérabilité, prévenu les personnes concernées par courriel, par vagues successives, et informé la Commission japonaise de protection des informations personnelles. Les membres sont priés de changer leur mot de passe skyticket, de le modifier sur tout autre service où ils l’auraient réutilisé, puis de vérifier leur historique de réservation et leurs relevés de carte.
Pourquoi des mots de passe hachés restent un risque
Un mot de passe haché n’est pas conservé en clair : le site n’en garde qu’une empreinte calculée. Cela ne le rend pas inviolable. Comme le souligne @IT, une analyse de ces empreintes peut permettre de retrouver le texte d’origine, et l’entreprise reconnaît elle-même le risque de connexions frauduleuses, sur skyticket comme sur les services où le même mot de passe serait réutilisé. Avec 4,13 millions d’empreintes dans la nature, les mots de passe courts ou courants sont les plus menacés.
Comment repérer les faux messages qui suivent une fuite
@IT décrit plusieurs scénarios d’escroquerie : des fraudeurs se faisant passer pour l’entreprise, une banque, une compagnie aérienne ou un autocariste ; une fausse procédure de remboursement destinée à soutirer un code bancaire ou des identifiants de banque en ligne ; un faux appel à payer un supplément ou à modifier une réservation de bus. Un message qui reprend un vrai trajet ou un vrai numéro de réservation inspire bien plus confiance qu’un courriel générique.
La règle posée par Adventure est simple : elle ne réclamera jamais d’argent au titre d’un remboursement ou d’une compensation, et ne demandera ni mot de passe, ni numéro de carte, ni code secret bancaire. Quelques réflexes en découlent :
- ne pas utiliser les liens ou numéros de téléphone figurant dans un message inattendu, mais passer par le site ou l’application officiels ;
- refuser tout paiement présenté comme condition d’un remboursement ;
- surveiller ses relevés et signaler toute réservation ou dépense inconnue ;
- changer les mots de passe réutilisés et activer la double authentification lorsque le service la propose.
Questions fréquentes
Les cartes bancaires des clients de skyticket ont-elles fuité ?
Non, selon l’entreprise, qui ne stocke pas les numéros de carte. Elle a toutefois suspendu le paiement par carte enregistrée depuis le 7 octobre et conseille de surveiller ses relevés.
Combien de personnes sont concernées ?
L’intrusion principale porte sur environ 14,64 millions de fiches clients. S’y ajoutent environ 17 780 enregistrements avec des coordonnées bancaires et environ 12 000 réservations de bus consultables sans connexion ; pour ces dernières, le nombre de personnes est plus élevé, car il faut compter les accompagnants.
Que faire si l’on reçoit un message promettant un remboursement ?
Ne pas y répondre et ne rien payer : Adventure affirme qu’elle ne demande jamais de frais pour un remboursement ni de données sensibles. Il vaut mieux vérifier directement depuis son espace client skyticket.
Sources
- 格安航空券比較・予約サイト「skyticket」で3件の不正アクセス、1400万件超の個人情報が流出し、1件の悪用も確認 — INTERNET Watch (Impress), 2026-10-09
- skyticketで1464万件の個人情報流出か 413万件にはパスワードも、異なる3経路で不正アクセス：返金口座や予約情報も対象に — @IT (ITmedia), 2026-10-13