イープラスの電子チケット払戻し情報管理システムへの不正アクセス（払戻し申請者1,463件、うち口座情報751件）
公表日
チケット販売のイープラスで、電子チケット「スマチケ」の払戻しを管理するシステムに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、払戻しを申し込んだ人の情報1,463件が漏えいしました。そのうち751件には振込先の口座情報が含まれていました。
対象者は？
2022年6月30日から2026年9月11日までに「スマチケ」の払戻しを申し込んだ人の一部で、同行者などイープラス会員でない人も含みます。全件にメールアドレス、カナ氏名、公演名・会場・日時が含まれます。銀行振込を選んだ751件には金融機関名・支店名・口座番号・口座名義が、郵便振替を選んだ68件には郵便番号・住所・氏名も含まれます。クレジットカード情報とパスワードは対象外で、紙のチケットなどでの払戻しも対象外です。
対象の方には、9月29日から個別のお詫びメールが順次送られています。専用のフリーダイヤルも案内されています。
いますぐできること
- 払戻しの振込に使った銀行口座の入出金明細に、身に覚えのない動きがないか確認する
- イープラスや銀行を名乗り、返金や払戻しを理由に暗証番号・ログイン・支払いを求めるメールや電話には応じない。公演名が書かれていても信用しない
- お詫びメールが届いたら、メール内のリンクではなく公式サイトのお知らせで内容を確かめる
何が起きたのか
2026年9月11日の夜7時58分から翌12日の深夜2時44分にかけて、イープラスの電子チケット「スマチケ」の払戻し情報を管理するシステムに、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が何度か行われました。会社は9月14日から15日にかけて不正アクセスと情報の漏えいを確認し、15日のうちにセキュリティの設定を見直してアクセスを遮断しました。9月29日に公表し、漏えいした件数を1,463件と発表しています。
なぜ起きたのか・なぜ広がったのか
侵入の経路はまだ公表されていません。会社は「第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が原因と考えられる」と説明しています。このシステムは会員情報やチケット購入情報のデータベースとは別のもので、2022年6月以降の払戻し申請者の情報が対象に含まれていました。
いまの状況2026-09-29 時点続報待ち
管理しているすべてのシステムを検査し、ほかの漏えいや不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。、データの改ざんはないことを確認したとしています。個人情報保護委員会へ報告し、警察への届け出を準備しています。再発防止として、全システムの総点検、セキュリティ診断の間隔を短くすること、定期的な研修などを挙げています。侵入の経路と、口座情報が悪用されたかどうかは、まだ発表されていません。
企業として考えたいこと
返金や払戻しのために預かった口座情報は、手続きが終わったあと、いつまで保管するかが決まっているでしょうか。
技術的な要約
チケット販売のイープラスで、電子チケット「スマチケ」の払戻し情報管理システムに2026年9月11日19時58分〜12日2時44分にかけて第三者による不正アクセスが複数回行われた。同社は9月14〜15日に不正アクセスと情報漏えいを確認し、15日中にセキュリティ設定を見直して遮断、9月29日に公表した。2022年6月30日〜2026年9月11日の払戻し申請者の一部1,463件（うち銀行振込751件は振込先口座情報を含む）が漏えいし、侵入経路の詳細は公表されていない。
攻撃の分類
- 侵入口
- 不明不明。公式は「第三者による不正アクセスが行われたことが原因と考えられる」とのみ説明し、侵入経路・脆弱性・認証情報の悪用有無は非公表。対応として「セキュリティ設定を見直し」てアクセスを遮断したとしており、設定面の不備が関係した可能性はあるが推測にとどまる。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし チケット販売・払戻し業務の停止は公表されていない。当該システム以外へのアクセスやファイル・DBの改ざんは確認されていないとしている。
- データ
- 確定上限 1,463確定 1,463件メール氏名口座住所その他（公演名・会場・開催日時）対象は2022/6/30〜2026/9/11にスマチケで払戻し申請した一部の顧客（同行者などイープラス会員以外を含む）。内訳：銀行振込751件（メールアドレス、カナ氏名、金融機関名・支店名・口座種別・口座番号・口座名義カナ）、クレジットカード返金644件（メールアドレス、カナ氏名）、郵便振替払出証書68件（メールアドレス、カナ氏名、郵便番号・住所・氏名）。全件に公演名・会場・開催日時を含む。会員情報・チケット購入情報DBとは独立したシステムで、クレジットカード情報・パスワードは対象外。紙チケット等での払戻しは対象外。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先の関与や他組織への波及は公表されていない。
時系列
技術解説
攻撃の構造と影響（事実） 事実
侵害されたのは会員・購入情報DBから独立した、払戻し処理専用の情報管理システムで、約7時間の間に複数回の不正アクセスを受けた。保持データは払戻しに必要な最小限の項目に近いが、銀行振込を選んだ751件については口座番号・名義まで含まれ、払戻し申請のデータが2022年6月から約4年3カ月分保持されていた。発見は不正アクセスの2〜3日後で、遮断手段は「セキュリティ設定の見直し」と説明されている。侵入経路・脆弱性は非公表で、口座情報の不正利用は確認されたとは公表されていない。
払戻し業務システムという盲点（解釈） 解釈
公演中止・延期時にだけ使われる払戻しシステムは、本体の会員基盤と比べて監視や診断の対象から漏れやすく、それでいて口座情報という高機微データを抱える。再発防止策に「セキュリティ診断の実施サイクルの短縮」「全システムの総点検」が挙がっていることから、周辺システムの診断頻度が十分でなかった可能性がある。払戻し完了後の口座情報をいつまで保持すべきかも論点で、完了済み申請の口座情報を一定期間後に削除していれば漏えい対象は大きく減ったと考えられる。
対応
- 封じ込め
- 9/15にセキュリティ設定を見直してアクセスを遮断し、再発がないことを確認。管理下の全システムを再検査し、他の漏えい・不正アクセス・DB改ざんがないことを確認。再発防止策として全システム総点検、セキュリティ診断サイクルの短縮、定期研修、社内規定・管理体制の見直しを表明。
- 公表の仕方
- 9/29にサポートサイトで公表（不正アクセスの時刻、返金方法別の件数と項目を開示）。侵入経路の詳細は非公表。対象者へは9/29から個別メール、専用フリーダイヤルを案内。
- 当局対応
- 個人情報保護委員会：報告済み
- 警察：所轄警察署への届出を準備中（9/29時点）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 払戻し専用の周辺システムに口座情報が長期間蓄積されていた | 払戻し完了後は口座番号等を所定期間（例: 照会対応期間の90日）経過で自動削除またはトークン化し、システム上には下4桁のみ残す。保持期限をデータ項目ごとに定義し定期ジョブで消し込む |
| 本体と独立した周辺システムが診断・監視の対象から漏れやすい | 高機微データを扱う全システムを資産台帳に登録し、外部公開面の脆弱性診断を最低四半期ごと・改修時に実施。管理画面はIP制限＋多要素認証、アクセスログをSIEMへ集約し夜間の大量参照をアラート化する |
自組織などでの確認項目
- あなたの組織で、イベント時や例外処理時にしか使わない業務システム（払戻し、キャンペーン、問い合わせ管理など）に、口座情報や本人情報が溜まり続けていないか。それらは本体と同じ頻度で診断・監視されているか。
未解明点
- 侵入経路（脆弱性・設定不備・認証情報の悪用など）と、「セキュリティ設定の見直し」の具体的内容
- 不正アクセスを確認した契機（検知手段）
- 口座情報の不正利用・二次被害の有無
出典
- 1イープラス2026-09-29公式本文確認済
- 2ScanNetSecurity2026-10-02報道本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-09-30報道本文確認済