チケプラのキャッシュ設定不備による他人の個人情報の誤表示（表示された側最大107名・見た側最大322名）
公表日
電子チケットサービス「チケプラ」で、Webサイトの設定変更が原因で、ある利用者の画面に別の利用者の氏名や住所などが表示される状態が約1日半続きました。情報が他人に表示された可能性があるのは最大107名です。
対象者は？
2026年9月28日7時から9月29日22時35分ごろまでに、チケプラのWebサイトで特定の公演のチケット申込み・購入の手続きや、マイページへの移動をした方の一部です。自分の情報が他人に表示された可能性があるのは最大107名、他人の情報を見た可能性があるのは最大322名です。表示された可能性がある情報は、氏名・メールアドレス・住所・電話番号・クレジットカード番号の下4桁、会員ID（Plus member ID）です。カード番号の全桁やパスワードが表示された事実は確認されていません。チケプラアプリとチケプラTradeは対象外です。
対象となる可能性のある方には、会社から個別にメールが送られています。公式のお知らせで詳しい内容を確認できます。
いますぐできること
- チケプラを名乗るメールやSMSで、カード情報の入力や支払いを求められても応じない。チケットの状況は公式アプリや公式サイトで確認する
- もし他人の情報が表示されたのを見た場合は、メモや画面の保存をせず、チケプラの窓口に知らせる
何が起きたのか
2026年9月28日の朝7時、チケプラはアクセスが集中したときにサイトが重くならないよう、Webページの一時保存（キャッシュ）の設定を変えました。その結果、同じページに同じタイミングでアクセスした人の画面に、本人ではなく別の人の情報が表示されることがありました。9月29日の夜に利用者からの問い合わせで分かり、約1時間後にサービスを止めました。原因の設定を直し、9月30日の朝7時にサービスを再開しました。
なぜ起きたのか・なぜ広がったのか
外部からの攻撃ではなく、サイトの設定変更による不具合です。サイトを速くするための仕組みが、本来は人ごとに違う画面まで共有して表示してしまいました。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。やデータベースの改ざんは確認されていません。
いまの状況2026-10-01 時点続報待ち
9月30日にサービスを再開し、10月1日に公表して対象の方へ個別にメールを送りました。公表時点で、情報が悪用された被害は確認されていません。再発防止として、システムを変えるときの確認と検証の手順を見直すとしています。
企業として考えたいこと
自社のWebサイトで設定を変えるとき、ログインした人ごとに違う画面が正しく表示されるかを、本番の前に確かめる手順はあるでしょうか。
技術的な要約
電子チケットサービス「チケプラ」で、2026年9月28日7:00にアクセス集中時の負荷軽減を目的としてWebページのキャッシュ設定を変更した結果、同一ページに同一タイミングでアクセスした利用者の画面に別の利用者の情報（氏名・メールアドレス・住所・電話番号・クレジットカード番号下4桁、Plus member ID等）が表示される状態になった。9月29日21:40頃の利用者の問い合わせで発覚し、22:35にメンテナンスとしてサービスを止め、9月30日7:00に原因を解消して再開した。情報が他人に表示された可能性があるのは最大107名、他人の情報を見た可能性があるのは最大322名で、同社は10月1日に公表し対象者へ個別にメールを送付した。不正アクセスやデータベース改ざんは確認されておらず、二次被害も公表時点で確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性公表で確認外部からの攻撃ではなく、自社Webサイトの設定変更による不具合。公式発表は『アクセス集中時における負荷軽減を目的として、Webページのキャッシュに関する設定変更を実施』した結果、『同一の対象ページへ同一タイミングでアクセスした場合に、本来表示されるべきご本人の情報ではなく、別のお客様の情報が表示される場合がある』状態になったと説明。対象は特定案件のチケット申込み・購入手続きの画面遷移と、ご利用ガイドからマイページへの画面遷移。キャッシュ製品（CDN・リバースプロキシ等）や具体的な設定項目（Cache-Control、キャッシュキー等）は非公表。チケプラアプリとチケプラTradeは対象外。
- 脆弱性
- CVE 非公表公表で確認チケプラWebサイトのキャッシュ設定（製品名非公表）2026-09-28 07:00の設定変更で、利用者ごとに内容が異なるページが他の利用者に返される状態になった。9/30 07:00に原因となった設定を修正済み。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 原因調査と対応のため、2026-09-29 22:35からシステムメンテナンスとしてサービスを停止し、9/30 07:00に再開。期間：約8時間25分（9/29 22:35〜9/30 07:00）
- データ
- おそれ上限 107確定 —人氏名メール住所電話クレカ会員ID自分の情報が別の利用者に表示された可能性がある人数が最大107名、自分の画面に別の利用者の情報が表示された可能性がある人数が最大322名（意味の異なる数字のため合算しない）。申込み・購入手続き画面：氏名（漢字・フリガナ）、メールアドレス、郵便番号、住所、電話番号、クレジットカード番号下4桁。マイページ遷移：Plus member ID、メールアドレス。クレジットカード番号の全桁やパスワードが表示された事実は確認されていない。『クレカ』は番号下4桁のみ。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他組織への波及は公表されていない。対象となった『特定案件』（公演・主催者）は非公表。
時系列
技術解説
何が起きたか：性能対策の設定変更が利用者間のデータ分離を壊した 事実
公式発表によれば、9月28日7:00にアクセス集中対策としてWebページのキャッシュ設定を変更し、その結果、同一ページに同一タイミングでアクセスした利用者に別人の情報が表示され得る状態になった。対象は特定案件の申込み・購入画面とマイページへの遷移で、氏名・住所・電話番号・メールアドレス・カード番号下4桁、Plus member IDが含まれる。発覚は約39時間後の利用者からの問い合わせで、社内監視による検知ではなかった。停止から再開まで約8時間25分。不正アクセスやデータベース改ざんは確認されていないとしており、外部攻撃ではなく設定不備の事案である。キャッシュ製品や設定項目は公表されていない。
なぜ起きたか（推測）：認証済み・個人別レスポンスの共有キャッシュ 解釈
『同一ページに同一タイミングでアクセスした場合』という条件は、ログイン後の個人別レスポンスが共有キャッシュ（CDNやリバースプロキシ）に短時間保存され、キャッシュキーにセッションやCookieが含まれていなかった典型的なパターンと整合する。負荷が集中する人気公演の発売時ほど同時アクセスが増え、誤表示の確率も上がる構造であり、性能対策が最も効く場面で事故が起きやすい。RFC 9111 の Cache-Control: private / no-store の付与漏れや、CDN側でオリジンのヘッダーを上書きする設定などが考えられるが、いずれも公表されておらず推測である。
対応
- 封じ込め
- 9/29 22:35にサービスを停止し、原因となったキャッシュ設定を修正。9/30 07:00に安全性を確認のうえ再開。システム変更時の確認・検証プロセスの見直しを再発防止策として表明。
- 公表の仕方
- 10/1に公式サイトで時系列（分単位）、原因、対象画面、表示項目、人数（107名・322名）を公表し、対象者へ個別メールを送付。個人情報保護に関する法令等に基づき必要な関係機関へ報告を含め対応するとした。
- 当局対応
- 個人情報保護委員会等の関係機関：法令に基づき報告を含め対応すると表明（報告日は非公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 性能対策のキャッシュ変更がセキュリティレビューの対象外だった可能性 | CDN・リバースプロキシのキャッシュ設定変更を変更管理上『個人情報影響あり』として扱い、認証済みパス（/mypage、/order 等）は既定で Cache-Control: private, no-store を強制。CDN側でオリジンヘッダーを上書きするルールはレビュー必須にする |
| 誤表示の発見が利用者の問い合わせ頼みで約39時間かかった | 本番変更直後に複数テストアカウントで同時アクセスする合成監視を実行し、レスポンス中の会員IDとセッションの会員IDの不一致を検知したら自動ロールバックする。CDNログで認証済みパスのキャッシュHIT率を監視しアラート化する |
| ロールバック手順が即時に効かずサービス停止で対処した | キャッシュ設定はコード管理し、1操作で前版へ戻せる手順と全キャッシュのパージ手順を事前に用意。変更はカナリア（一部パス・一部トラフィック）から段階適用する |
自組織などでの確認項目
- 自社のCDN・キャッシュ設定で、ログイン後のページや個人情報を含むAPIレスポンスがキャッシュされないことを、誰がどのテストで保証しているか。発売開始直前の負荷対策として設定を変える場合、その手順は同じか。
未解明点
- キャッシュ製品と具体的な設定項目（キャッシュキー、Cache-Controlの扱い）
- 対象となった特定案件（公演名・主催者）と、主催者への連絡の有無
- 個人情報保護委員会への報告日と内容
出典
- 1チケットプラス2026-10-01公式本文確認済
- 2セキュリティ対策Lab（Rocket Boys）2026-10-02報道本文確認済