CNプレイガイドへの不正アクセス（メールアドレス最大236,323件流出の可能性）
公表日
チケット販売サービス「CNプレイガイド」を運営するコミュニティ・ネットワーク株式会社のサーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、メールアドレス最大236,323件が流出した可能性があると発表された（流出が確定した件数は示されていません）。
対象者は？
CNのチケットシステムに登録されたメールアドレス236,323件が、メールアドレスのみの形で流出した可能性があります。このうち127件には、会員番号・ログインID・氏名（カナ）・電話番号も含まれる可能性があります。CNが運営するTBSチケットの会員42名と、CNに管理業務を委託しているキョードー東京メンバーズの会員も対象です。クレジットカード情報は決済代行会社で管理されているため、対象に含まれないとされています。
影響が確認できた方には、CNが個別に連絡するとしています。自分が対象かどうかを確かめる方法は、渡された情報には書かれていません。詳しくはCNやTBSチケット、キョードー東京の案内で確認してください。
いますぐできること
- CNやTBSチケットを名乗る連絡で、暗証番号・クレジットカード情報・ワンタイムコードを求められても入力や返信をしない。CNはこれらを求めることはないとしています。
- 心当たりのないメールやSMSが届いたら、記載のリンクを開かない。
- 不安なときは、CNやTBSチケットが案内している問い合わせ窓口に連絡する。
何が起きたのか
2025年9月5日、CNは自社のサーバーに外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったことに気づきました。すぐに外部からの経路を遮断し、専門機関と連携して調べ始めました。調査の結果、一部のチケットシステムに保存されていた個人情報が第三者に見られた、または流出した可能性があると分かり、9月10日に発表しました。同じ日に、TBSチケットとキョードー東京も、利用者への影響の可能性を案内しました。
なぜ起きたのか・なぜ広がったのか
侵入された経路や原因は、渡された情報には書かれておらず、まだ発表されていません。原因は調査中とされています。キョードー東京が販売管理などをCNに委託していたため、その会員も対象になりました。
いまの状況2025-09-16 時点続報待ち
2025-09-16時点の報道では、影響範囲の調べ、原因の究明、再発防止策の具体化が続いています。件数や内訳は、調査が進むと見直される可能性があります。CNは個人情報保護委員会や警察への報告・相談を進めているとされています。原因や再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
自社が預けているお客様のデータは、委託先にも保管されています。委託先で事案が起きたとき、どの項目が何件影響するかを、すぐに答えられる状態でしょうか。
技術的な要約
コミュニティ・ネットワーク株式会社（CN）は2025年9月5日に自社サーバーへの外部からの不正アクセスを検知し、直ちに外部からの経路を遮断してフォレンジック調査を開始した。調査の結果、一部のチケットシステムに保存されていた個人情報が第三者に閲覧または流出した可能性が判明し、同社は9月10日に公表した。流出の可能性があるのはメールアドレス236,323件で、うち127件には会員番号・ログインID・氏名（カナ）・電話番号・メールアドレスが含まれる可能性がある。CNが運営するTBSチケットの会員42名の情報や、販売管理等を委託しているキョードー東京のメンバーズ会員も影響対象となった。クレジットカード情報は決済代行会社で管理されているため対象外とされている。影響範囲の精査、原因究明、再発防止策の具体化は継続中で、件数や内訳は見直される可能性がある。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明参照した出典には侵入経路の記載がない。「自社サーバーに対する外部からの不正アクセス」を検知したとのみ報じられている。原因究明は継続中。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品は参照した出典に記載なし。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- おそれ上限 236,323確定 —件メール会員ID氏名電話CNのチケットシステムに登録されたメールアドレス236,323件が「メールアドレスのみ」の形で流出した可能性。127件は会員番号・ログインID・氏名（カナ）・電話番号・メールアドレスを含む可能性。別にTBSチケット会員42名の氏名・電話番号・メールアドレス等の流出が疑われている。クレジットカード情報は決済代行会社管理のため対象外。調査の進捗で件数・内訳は見直される可能性がある。
- 波及先
- —
- TBSチケット会員42名（CN運営）
- キョードー東京メンバーズ会員（販売管理・顧客管理業務をCNに委託）
- 金銭影響
- —
- サプライチェーン
- キョードー東京は販売管理・キョードー東京メンバーズ顧客管理業務をCNに委託しており、CNへの不正アクセスにより同社会員のメールアドレス流出の可能性が生じ、2025年9月10日に発表した。CN運営のTBSチケットでも会員42名が対象。
時系列
- 2025-09-05
- 2025-09-05CNが直ちに外部からの経路を遮断し、専門機関と連携してフォレンジック調査を開始した。1
- 2025-09-05キョードー東京が委託するCNのサーバーへの不正アクセスにより、メールアドレス流出の可能性が判明した（キョードー東京発表の記述）。3
- 2025-09-10
- 2025-09-10CN運営のTBSチケットでも会員42名の情報流出の可能性が確認され、同日付で注意喚起と問い合わせ窓口の案内が行われた。1
- 2025-09-10キョードー東京が、委託先CNへの不正アクセスによるメールアドレス流出の可能性について発表した。3
- 2025-09-10CNが個人情報保護委員会や警察への報告・相談を進めていると公表した。1
- 2025-09-11セキュリティ対策Labが、約23.6万件の個人情報漏洩の可能性として本件を報じた。1
- 2025-09-16
技術解説
検知から公表までの経過 事実
CNは2025年9月5日に自社サーバーへの外部からの不正アクセスを検知した。直ちに外部からの経路を遮断し、専門機関と連携してフォレンジック調査を開始している。調査の結果、一部のチケットシステムに保存されていた個人情報が第三者に閲覧された、または流出した可能性が判明し、9月10日に事案を公表した。CNは個人情報保護委員会や警察への報告・相談を進めているとしている。キョードー東京も同日、委託先であるCNへの不正アクセスによるメールアドレス流出の可能性について発表した。影響範囲の精査、原因究明、再発防止策の具体化は継続中とされている。
流出の可能性がある情報の内訳 事実
CNのチケットシステムに登録されたメールアドレス236,323件が「メールアドレスのみ」の形で流出した可能性がある。このうち127件については、会員番号・ログインID・氏名（カナ）・電話番号・メールアドレスが含まれる可能性があるとされる。別に、CNが運営するTBSチケットでは会員42名の氏名・電話番号・メールアドレス等の流出が疑われている。いずれの告知でも、クレジットカード情報は決済代行会社で管理されているため対象外と明記されている。件数はいずれも流出の可能性であり、流出が確定した件数は示されていない。調査の進捗によって件数や内訳が見直される可能性があり、影響が確認できた顧客にはCNが個別に連絡するとしている。
委託関係を通じた影響の広がり 解釈
キョードー東京は販売管理とメンバーズ顧客管理をCNに委託しており、その会員も影響対象に含まれた。この構図からは、一つの事業者の基盤に複数のサービスや委託元の顧客情報が集まる場合、基盤側で起きた事案が委託元の顧客にも及ぶことがうかがえる。ただし、どのシステムがどの範囲で共用されていたかは、渡された出典からは分からない。そのため、影響が広がった仕組みを断定することはできない。委託元と委託先のどちらにとっても、預けているデータの種類と範囲を日頃から把握しておくことが、事案発生時の通知や説明の早さにつながると考えられる。
公表内容の読み取りと留意点 解釈
メールアドレスの件数、127件の詳細項目、TBSチケットの42名、カード情報が対象外であることなど、件数の区分と除外範囲が示されている点は、利用者が自分に関わるかを考える助けになる。一方で、渡された出典は報道3件のみで、CN自身の発表文は含まれない。侵入経路、侵入日、悪用された脆弱性は出典に記載がなく、127件や42名と236,323件との重複関係も読み取れない。数字は報道を通じた内容であり、今後の続報で変わる可能性がある。評価は公式発表を確認できた段階で改めて行うのが適切である。
対応
- 封じ込め
- 検知後、直ちに外部からの経路を遮断し、専門機関と連携してフォレンジック調査を開始した。影響範囲の精査、原因究明、再発防止策の具体化が継続中。影響が確認できた顧客へは個別に連絡するとしている。
- 公表の仕方
- 2025年9月10日に公表。TBSチケットでも同日付で注意喚起と問い合わせ窓口を案内。流出の可能性があるメールアドレス宛のスパム・フィッシングに注意を促し、CNやTBSチケットを名乗って暗証番号・クレジットカード情報・ワンタイムコードを求めることはないとしている。
- 当局対応
- 個人情報保護委員会（報告・相談を進めている）
- 警察（報告・相談を進めている）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| チケットシステムのような会員基盤には、メールアドレスのみの大量データと、氏名や電話番号を含む少数の詳細データが同居しうる。保存項目の棚卸しが影響範囲の特定を早める。 | 会員DBのテーブルとカラムごとに保存項目と機微度を一覧化し、定期的に更新する。不要な項目や退会者データには保持期限を設けて自動削除する。 |
| 外部からの経路を直ちに遮断し、フォレンジック調査を開始した対応は、検知後の初動の型として参考になる。 | 遮断手順（FW、VPN、管理画面の停止など）を手順書にし、年1回は机上訓練を行う。ログ保全の手順と外部のフォレンジック事業者との契約も事前に整えておく。 |
| 委託先で起きた事案は、委託元の顧客にも影響し、委託元自身が発表することになる。 | 委託契約で、インシデント通知の期限、提供する情報項目、委託先が保持するデータの範囲を定める。委託先ごとの保持データ一覧を委託元側でも持つ。 |
| カード情報を決済代行会社で管理する構成は、流出の可能性があるデータの範囲を限定できた要因として読み取れる。 | カード番号を自社システムで保持しない決済方式（トークン化や外部決済ページ）を採用する。保持していないことをデータフロー図で確認できる状態にする。 |
| 流出したメールアドレスは、のちにスパムやフィッシングに使われる恐れがある。 | 送信ドメインにSPF、DKIM、DMARCを設定し、公式の連絡手段と、求めない情報（暗証番号やワンタイムコード等）をサイトで案内する。 |
自組織などでの確認項目
- 自組織の会員・顧客データベースに、メールアドレスのみのデータと、氏名・電話番号まで含むデータが混在していないか。保存項目ごとの件数を、すぐに出せる状態か。
- 自組織が業務を委託している先で保持されている自社顧客のデータは、どの項目が何件か。委託先からの事案通知の期限と内容は契約で定められているか。
- 外部からの不正アクセスを検知した際、経路を遮断する担当者と手順は決まっているか。ログの保全と外部専門機関への連絡を、検知後すぐに始められるか。
未解明点
- 侵入経路、侵入日、悪用された脆弱性の有無は、渡された出典には記載がない。
- メールアドレス236,323件と、127件、TBSチケット会員42名の件数が重なっているかどうかは示されていない。
- キョードー東京メンバーズ会員の対象件数は、渡された出典に示されていない。
- 調査の進捗で件数や内訳が見直された場合の最終的な確定件数は、まだ示されていない。
- CN自身の発表文は渡された出典に含まれておらず、公式の記載内容は確認できていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-09-11報道本文確認済
- 2ScanNetSecurity2025-09-16報道本文確認済
- 3ScanNetSecurity2025-09-16報道本文確認済