株式会社teketへの不正アクセスによる会員個人情報流出（件数精査中）
公表日
電子チケットサービス「teket」のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、全会員の氏名・メールアドレスや一部利用者の住所、チケットコードなどが外部に流出しました。
対象者は？
teketの全会員（氏名、メールアドレス）および、登録・購入内容に応じた一部の会員（住所、電話番号、生年月日、チケット発券用コードなど）。ログインパスワードやクレジットカード番号は含まれていません。
teketが対象範囲を特定したうえで順次案内するとしています。また、利用したイベント主催者や施設の公式告知も併せてご確認ください。
いますぐできること
- teketやイベント主催者を装ってパスワードやクレジットカード情報を聞き出そうとする不審なメール・SMS・電話に注意してください（公式からこれらを尋ねることはありません）。
- 参加予定のイベントがある場合は、チケットのQRコードが表示できない可能性があるため、購入完了メールを用意するなど主催者側の案内に従って行動してください。
何が起きたのか
2026年11月5日にサーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の可能性が高いと判断した運営会社は、同日20時30分に全サービスを停止して遮断措置を取りました。翌11月6日の調査で会員情報管理システムから顧客情報が流出したことが確認され、11月8日に第一報が公表されました。サービスの停止に伴い、チケットの新規購入やQRコードの表示ができなくなり、週末のスポーツ興行や施設イベントなどで代替受付が行われるなどの影響が出ました。
なぜ起きたのか・なぜ広がったのか
第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われたことは確認されていますが、具体的な侵入経路や悪用された脆弱性などの技術的な原因はまだ発表されていません。
いまの状況2026-11-08 時点続報待ち
流出した対象人数や件数は精査中であり、サービスの再開時期も未定です。安全性を確認したうえで再開する方針とされています。なお、公表時点で不正ログインや流出情報の悪用といった二次被害は確認されていません。
企業として考えたいこと
自社が利用または提供しているオンラインサービスが突然全面停止した場合、顧客の入場や受付などの現場業務を継続できる代替手段を用意できていますか？
技術的な要約
電子チケット販売・管理サービス「teket（テケト）」を運営する株式会社teketは、会員情報などを管理するシステムが第三者による不正アクセスを受け、顧客情報の一部が外部に流出したことを2026年11月8日に公表した。同社は2026年11月5日にサーバーへの不正アクセスの可能性が高いと判断し、同日20時30分に全サービスを停止して不正アクセスの遮断措置を実施した。その後の調査・分析により、11月6日に全会員の氏名・メールアドレスに加え、一部会員の生年月日、住所、電話番号、チケット発券用コードなどの外部流出が確認された。公表時点で対象人数・件数は精査中であり、侵入経路や脆弱性などの技術的原因は明らかにされていないが、二次被害は確認されておらず、個人情報保護委員会への報告が行われた。
攻撃の分類
- 侵入口
- 不明公表時点で侵入経路や攻撃に利用された脆弱性などの技術的な原因は明らかにされていない。
- 脆弱性
- CVE 非公表不明攻撃に利用された具体的な製品名や脆弱性は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年11月5日20時30分からteketの全サービスを停止したため、チケットの購入、購入済みチケットのQRコード表示、主催者による受付読み取りが利用不能となった。期間：2026-11-05T20:30+09:00から継続中（公表時点）
- データ
- 確定上限 —確定 —件氏名メール生年月日性別住所電話その他すべてのteket会員の氏名・メールアドレス、および該当会員の生年月日・年齢・性別・住所・電話番号、チケット発券用コード、主催者発行のシリアルコードの流出が確認された。対象人数および件数は精査中。ログインパスワードおよびクレジットカード情報は流出項目に含まれていない。
- 波及先
- —
- 札幌市生涯学習センター（ゆりかごコンサートの顧客情報流出連絡）
- 京都モダン建築祭実行委員会（パスポート・ガイドツアー購入者への影響確認）
- 国内ハンドボール リーグH（チケット購入・QR表示停止による週末試合対応）
- 東京サンビームズ（チケット購入・表示およびファンクラブ新規入会停止）
- 札幌市青少年科学館（プラネタリウム特別投影のチケット購入・表示停止）
- FCふじざくら山梨（チケット購入者への影響範囲確認中）
- 金銭影響
- —
- サプライチェーン
- チケット販売・管理サービスを提供するteketが不正アクセスを受けたことにより、同サービスを利用してイベント等のチケット販売を行っていた自治体施設、スポーツ団体、イベント主催者等へのサービス停止および顧客情報流出の影響が波及した。
時系列
技術解説
検知から初動対応と流出確認の経緯 事実
株式会社teketは2026年11月5日に同社サーバーへ外部から不正アクセスが行われた可能性が高いと判断し、同日20時30分に全サービスを停止して不正アクセスの遮断措置に着手した。翌11月6日の調査・分析により、会員情報などを管理するシステムへの不正アクセスと、保管されていた顧客情報の一部の外部流出が確認された。同日、teketは個人情報保護委員会への報告を実施している。その後、調査を経て2026年11月8日に「不正アクセスによる情報流出に関するお詫びとお知らせ（第一報）」を公表した。公表時点で侵入経路や脆弱性などの技術的な原因は明らかにされていないが、不正アクセス検知から全サービス停止遮断までを同日中に実施し、翌日には監督官庁への報告を行っている。
流出対象データと影響範囲の特徴 事実
流出が確認されたデータは、すべてのteket会員を対象とする氏名およびメールアドレスと、登録・購入内容に応じた一部会員の生年月日、年齢、性別、住所、電話番号、チケット発券用コード、主催者発行のシリアルコードである。対象人数および件数は精査中とされている。一方で、確認済みの流出項目にログインパスワードやクレジットカード番号は含まれていない。決済処理に関してはGMOペイメントゲートウェイが管理するサーバーに格納される構成をとっており、自社システムでカード情報を保持・処理・通過させない分離設計がなされていた。また、第一報公表時点では不正ログインや流出情報の悪用といった二次被害は確認されていない。
チケットプラットフォーム障害に伴うサプライチェーン影響 解釈
BtoBtoC型プラットフォームであるteketの全面停止は、同サービスを利用してイベントや興行を行う多数の主催者・自治体施設・スポーツ団体に直接的な業務停止影響を及ぼした。具体的には、国内ハンドボール「リーグH」や「東京サンビームズ」でのチケット購入・表示停止、札幌市生涯学習センターや札幌市青少年科学館、京都モダン建築祭実行委員会、FCふじざくら山梨などでの影響確認と代替対応が生じた。電子チケットのQRコード表示や読み取り受付機能が停止したため、現場では購入完了メールの提示や別途提供された購入者リストを用いた照合作業への切り替えが必要となった。侵入被害を受けた単一サービスの停止が、週末の興行開催や施設運営の現場運用に即座に波及した事例といえる。
対応
- 封じ込め
- 2026年11月5日20時30分にサービスを全面的に停止し、不正アクセスの遮断措置を着手した。
- 公表の仕方
- 2026年11月8日にWebサイト上で第一報を公表した。対象範囲を特定したうえで対象顧客へ順次案内する方針を示し、利用団体・主催者に対して個別に連絡を行った。また、同社からメールやSMS、電話等でパスワードやクレジットカード情報を尋ねることはない旨を注意喚起している。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済機能と機微情報の外部分離アーキテクチャの維持 | クレジットカード情報の非保持化や外部決済代行事業者（PSP）への完全委譲を徹底し、万が一自社Webサーバーや会員管理DBが侵害された場合でも最重要決済情報が漏洩しない分離境界を設計・維持する。 |
| サービス全面停止時のオフライン代替受付プロセスの策定 | 電子チケットや認証プラットフォームが全面停止した場合に備え、メール控えの提示受付やオフライン用購入者名簿の配布・照合手順など、サービス利用不能時を前提としたBCP運用をあらかじめ定義しておく。 |
| 不審アクセス検知時の迅速な遮断手順とエスカレーション体制の確立 | 異常検知から管理システム遮断・サービス全停止判断までの権限と手順を明確化し、本件のように検知当日中に通信遮断とシステム隔離を完了できる体制を整備する。 |
| 流出した会員属性・コード類を悪用したフィッシング・なりすましへの警戒 | 氏名・メールアドレス・発券コード等が流出した顧客に対し、運営元を騙る偽メールやSMS詐欺（パスワードやカード情報を聞き出す手口）の注意喚起を早期に発信し、本人確認手法の強化を行う。 |
自組織などでの確認項目
- 自社の会員システムが不正アクセスを受けた際、どの範囲の顧客データ（氏名、連絡先、固有コード等）が影響を受けるか、テーブル単位で分離・保護されているか確認できているか？
- 利用しているクラウドや外部SaaSサービスが緊急停止した際、現場のコア業務や顧客受付をオフラインまたは代替手段で継続できる手順書が整備されているか？
- クレジットカード番号などの機微情報が、自社のインフラを経由・保持せず安全な外部決済事業者に完全に切り離されているか？
未解明点
- 第三者がサーバーに不正侵入した具体的な侵入経路および悪用された脆弱性・設定不備の内容は何であったか？
- 全会員の氏名・メールアドレスおよび一部会員の住所・電話番号等について、影響を受けた最終的な確定件数・人数は何件か？
出典
- 1札幌市生涯学習センター ちえりあ公式本文確認済
- 2teket公式本文確認済
- 3京都モダン建築祭実行委員会2026-11-08公式本文確認済
- 4セキュリティ対策Lab2026-11-08報道本文確認済
- 5FCふじざくら山梨2026-11-09公式本文確認済
- 6札幌市青少年科学館2026-11-08公式本文確認済