電子チケットteketに不正アクセス、全会員の氏名とメールアドレスが流出

全会員の氏名とメールアドレスが流出、件数は精査中

teketは、株式会社teketが運営する電子チケット販売・管理サービスで、イベント主催者がチケット販売に利用しています。ところが、株式会社teketは11月8日、チケットを買わずに会員登録だけした人も含め、全会員の氏名とメールアドレスが外部に流出したと発表しました。 流出した人数は、11月8日時点で精査中です。

流出が確認された情報（teketの発表より）

対象	流出した情報
すべての会員	氏名・メールアドレス
登録・購入した会員	生年月日・年齢・性別、住所・電話番号、チケットの発券用コード、主催者が発行したシリアルコード
件数	精査中

国内では、不正アクセスによる情報流出の公表が相次いでいます。各社が公表した件数と原因は、時系列一覧にまとめています。

購入した会員は住所や電話番号に加え発券用コードも流出している

流出した情報のうち、生年月日や住所、電話番号、チケット情報は、それらを登録した会員やチケットを購入した会員だけが対象です。つまり、チケットを買ったことがある会員は、登録した住所や電話番号まで第三者に知られた恐れがあります。 チケット情報には、チケットを発行するときに使う発券用コードと、主催者が独自に発行したシリアルコードが含まれます。

パスワードとカード番号は発表された流出情報に含まれていない

teketが発表した流出情報は、氏名やメールアドレス、住所、チケット情報までで、パスワードとクレジットカード番号は含まれません。ただし、原因究明と影響範囲の特定は11月8日時点で継続しています。 teketは、新しい事実がわかればコーポレートサイトで速やかに公表する方針です。

11月5日夜から全サービスを停止し、再開時期は未定

teketは11月5日、サーバーへ外部から不正アクセスがあった可能性が高いと判断しました。そのため、同日20時30分にサービスを停止し、不正アクセスを遮断しています。 11月9日時点でもteketのサイトはメンテナンス中で、終了日時は「未定」との表示です。再開時期は精査中で、確定したらコーポレートサイトと公式SNSで公表するとしています。

11月6日に流出を確認し、個人情報保護委員会へ報告

teketはサービス停止後の調査・分析で、翌11月6日に、会員情報を管理するシステムから顧客情報の一部が持ち出されたことを確認しました。 teketは同日、個人情報保護委員会へ報告済みです。原因究明は現在も継続しており、侵入経路や悪用された弱点について、11月8日時点で公表はありません。

サービス停止中は購入完了メールの提示で入場を受け付ける

サービス停止中はteketで購入したQRチケットを表示できないため、teketは購入時に届いた購入完了メールを受付で提示するよう呼びかけています。一方、購入完了メールが見つからない来場者向けに、teketはチケットを購入した人の名前を受付で伝える方法も用意しました。 入場方法はイベントごとに主催者から別の連絡がある場合もあるため、主催者のお知らせもあわせて確認しておくと確実です。

二次被害は確認されておらず、主催者へ購入者リストを送付

11月8日に発表した時点で、流出した情報を使った不正ログインや悪用は見つかっておらず、新たな不正アクセスも確認されていないとしています。teketは調査と監視を継続しながら、入場確認に必要な購入者リストを主催者へ個別に送付します。 流出が確認された会員への連絡は、対象範囲を特定したうえで順次行う方針です。

teketの対応（11月8日の発表より）

対応	内容
サービス	11月5日20時30分から全サービスを停止。再開時期は精査中
調査	原因究明と影響範囲の特定、不正アクセスの遮断と監視を継続
報告	11月6日に個人情報保護委員会へ報告
会員への連絡	対象範囲を特定したうえで順次
主催者への連絡	入場確認用の購入者リストを個別に送付。売上金は通常どおり入金する予定

主催者はQRチケットを読み取って入場を受け付けられない

サービス停止で、主催者は管理画面にログインできず、QRチケットを読み取る入場受付も使えません。QRチケットを読み取れないため、主催者は購入完了メールと購入者リストを照らし合わせて、来場者を確認することになります。 売上金は通常のスケジュールで入金される予定で、停止の影響を受けた販売手数料については、teketが別途説明するとしています。

10月30日、会社サイトの問い合わせ情報が流出した可能性

teketは10月30日、コーポレートサイト制作に利用しているクラウドサービス「Studio」が不正アクセスを受け、サイトの問い合わせフォームに入力された企業名や氏名、メールアドレスなどが漏えいした可能性があると公表していました。対象は最大1,206人で、第三者に取得された事実は確認されていないとしています。

ただし、10月30日に公表した件はteketのサービスとは別システムで起きたもので、11月8日発表の内容は両者の関係に触れていません。

会員と主催者はそれぞれ何をすればいい？

teketの会員には、流出した情報を使ったなりすましメールやフィッシングSMSが届く恐れがあります。teketでチケットを販売してきた主催者は、QRチケットに頼らずに来場者を確認しなければなりません。そのため、会員はteketを装う連絡のリンクにアクセスせず、主催者は受付の照合方法と購入者リストの保管先を整えておきましょう。

立場ごとの備え（teketの発表とIPAの資料より）

立場	備え
teketの会員	teketを装う連絡のリンクにはアクセスせず、イベント前に購入完了メールを検索し、多要素認証を設定する
チケットを販売する主催者	購入完了メールで入場を受け付ける流れを共有し、購入者リストを保管する人と場所を限定する

会員として：teketを装う連絡のリンクにはアクセスしない

氏名とメールアドレスが一緒に流出すると、本人の氏名を書いたなりすましメールが送信される恐れがあります。IPAは、漏えいしたメールアドレスや氏名がリストにまとめられて闇サイトなどで販売され、詐欺のメールやSMSに使われる可能性を指摘しています。なりすましのメールやSMSが届く可能性があるため、差出人がteketのメールやSMSでも、心当たりのない内容ならリンクや添付ファイルは開かないでください。

パスワードやカード情報を聞き出す連絡はteketを装った偽物

teketは、パスワードやクレジットカード情報をメールやSMS、電話で聞くことは無いと明言しています。差出人がteketでも、パスワードやカード情報の入力や回答を求められたら、偽物と判断して応じないでください。相手が氏名を知っていても、本物である根拠にはなりません。

イベント前に購入完了メールを探しておく

サービス停止中にイベントがある人は、当日に慌てないよう、メールサービスで「teket」と検索して購入完了メールを前もって見つけておきましょう。主催者が独自の入場方法を設けている場合は、主催者の指示に従ってください。

多要素認証を使えるサービスでは設定しておく

流出したメールアドレスで登録している他サービスでは、パスワードに加えて別の確認手段でログインする設定を入れましょう。IPAは、多要素認証やパスキーを設定できるサービスでは積極的に利用するよう勧めています。パスワードは長く複雑にし、サービスごとに別のものへ変更しておけば、1つのサービスから流出しても他サービスへの被害拡大を防げます。

主催者として：照合方法を共有し、購入者リストの保管先を限定

teketは主催者に、来場者が提示する購入完了メールで入場を確認するよう指示しました。受付手順が変わるため、主催者は照合方法をスタッフ全員とすり合わせ、個人情報を含む購入者リストを受付後も管理しましょう。 購入者の個人情報について主催者に必要な対応が生じた場合は、teketが個別に連絡する方針です。

購入完了メールで入場を受け付ける流れをスタッフと共有

まず、受付に立つスタッフ全員が、購入完了メールの見方と、メールを持たない来場者に名前を聞いて購入者リストと照らす流れを共有しましょう。QRチケットの読み取りが使えない間は、名前とリストを照合して入場を確認します。

受付後の購入者リストは保管する人と場所を限定

次に、購入者リストを保管する人と場所を限定しましょう。購入者リストには来場者の氏名などが記載されるため、受付後に誰でも見られる状態だと流出の恐れがあります。イベントが終わって不要になったリストを削除すれば、主催者側から流出する量自体を減らせます。

購入者リストや入金の連絡でもパスワードは入力しない

最後に、teketを装う連絡への備えです。購入者リストも販売手数料の説明も、teketから主催者へ個別に届く予定とのこと。本物の連絡でパスワードやカード情報の入力を迫られることは無いため、届いた連絡が管理画面のログインやカード番号の入力へ誘導する内容なら、購入者リストや入金の名目でも応じないでください。