イープラス「スマチケ」払戻し情報1,463件が漏えい。対象範囲と9月29日開始の通知を確認する

まず初めに

チケットの払戻しを申請しただけなのに、銀行口座の情報まで漏えいした。これは「返金してもらう」という、利用者が安心して任せているはずの手続きの裏側で、システムのどこかに穴が開いていたという話だ。対象期間は2022年6月からの約4年分という長さで、自分がいつ払戻しを申請したか正確に覚えている人のほうが少ないだろう。こういう「忘れた頃に対象になる」漏えいは、利用者がどれだけ注意深くても自衛のしようがない。※個人の感想です

何が起きているのか

イープラス株式会社は、電子チケット「スマチケ」の払戻し情報を管理するシステムに第三者による不正アクセスがあったと発表しました。不正アクセスは2026年9月11日午後7時58分から9月12日午前2時44分にかけて複数回行われ、同社は9月15日までに漏えいを確認し、同日中にセキュリティ設定を見直して遮断しました。

公式発表で漏えいが確認された個人情報は合計1,463件です。対象はスマチケで受け取り、指定期間に払戻しを申請した一部の利用者で、紙チケット等の受取方法は含まれません。対象者全員について、メールアドレス・カタカナ氏名・払戻し対象公演の名称/会場/日時が対象です。このうち銀行振込による返金を選んだ751件は振込先の金融機関名・支店名・口座種別・口座番号・口座名義も、郵送で証書を受け取る「郵便振替払出証書」を選んだ68件は送付先の郵便番号・住所・氏名も対象に含まれます。クレジットカード情報は同社が保持しておらず、会員パスワードは別データベースで管理されているため対象外です。同社は個人情報保護委員会への報告を済ませ、所轄の警察署への届け出も準備しているとしています。

返金方法別の内訳は次のとおりで、751件＋644件＋68件＝1,463件です。いずれもメールアドレス・カナ氏名・対象公演の名称／会場／日時を含みます。

返金方法	対象件数	追加で対象になる情報
銀行振込	751件	口座情報(金融機関名・支店名・口座種別・口座番号・口座名義)
クレジットカード返金	644件	なし（カード情報は同社保有なし）
郵便振替払出証書	68件	郵便番号・住所・氏名

なぜ重要なのか

対象期間は「2022年6月30日から2026年9月11日まで」という約4年分の累積データです。払戻しは公演の中止・延期・会場変更で発生する一時的な手続きですが、申請記録が長期間残っていたことで対象範囲が広がりました。対象者の約半数にあたる751件は口座番号・口座名義まで対象で、氏名・メールアドレスだけの漏えいに比べ、詐欺に悪用されるリスクが相対的に高いと考えられます。

また、イベントの払戻しという仕組みは、コンサート・舞台・スポーツ観戦など幅広いジャンルの公演で発生します。チケット購入経験のある人の多くが、過去数年のどこかで一度くらいは払戻しを経験していてもおかしくなく、対象になりうる利用者の母数自体が広いという点も見逃せません。本記事執筆時点で、侵入経路や、なぜ不正アクセスを許す状態になっていたのかという詳しい原因は公表されていません。

私たちへの影響

指定期間にスマチケから払戻しを申請した一部の人が対象です。イープラスは9月29日から、非会員の同行者を含む対象者へ個別メールを順次送っています。専用フリーダイヤルは対象者に案内しており、不審な連絡や口座の不審な取引があれば公式の問い合わせ窓口へ連絡するよう求めています。特に銀行振込を選んだ人は、心当たりのない振込先変更の連絡や、イープラスを名乗る不審な電話・メールに注意してください。クレジットカード情報やパスワードは対象外のため不正ログインに直結する可能性は相対的に低いものの、氏名・メールアドレス・口座情報を組み合わせたフィッシング詐欺への警戒は必要です。不審な連絡は、折り返す前に公式サイトで自分から確認してください。

口座情報そのもので直接お金を引き出されることは通常ありませんが、「イープラスの払戻しに関する確認です」といった体裁で、暗証番号やワンタイムパスワードを聞き出そうとする詐欺の電話・メールが来る可能性はあります。金融機関や企業が、電話やメールで暗証番号・ワンタイムパスワードを尋ねることは通常ありません。

よくある質問

Q. 自分が今回の対象に含まれているか確認する方法は?

A. 9月29日の公式発表では、対象者（非会員の同行者を含む）へのメール通知を同日から順次開始しています。通知が全員に完了したとは書かれていません。メールの有無だけで対象外と決めず、心当たりがある場合は公式発表と問い合わせ窓口を確認してください。専用フリーダイヤルは対象者へ案内されます。

初心者が知っておくべきこと

「不正アクセス」とは、本来アクセスする権限を持たない第三者が、サーバーやシステムに侵入することです。今回のように、サイト全体ではなく「払戻し情報管理システム」という特定の機能だけが狙われるケースもあります。

「個人情報保護委員会こじんじょうほうほごいいんかい」は、個人情報の適正な取り扱いを監督する行政機関で、企業は漏えいが発生した場合、この委員会への報告が法令で義務付けられています。今回のイープラスの発表は、漏えいが判明したというものです。漏えいの確認と、その情報が実際に悪用されたかどうかは別の論点です。

銀行の「口座情報」とひとくくりに言っても、今回対象になっているのは金融機関名・支店名・口座種別・口座番号・口座名義です。これだけで第三者が口座から直接お金を引き出すことは通常できませんが、振込先を装った詐欺の材料にされる可能性はあるため、油断はできません。

IT Postの見方

IT Postでは、今回の事案は「一時的な手続きのために預けたはずの情報が、何年も残り続けるリスク」を示した事例だと考えます。払戻し申請は利用者からすればその場限りのつもりでも、企業側のシステムには長期間データが蓄積されます。企業には、利用目的を終えた個人情報を適切な時期に削除・匿名化する運用の見直しが求められるのではないかというのがIT Postの見方です。

今後どうなりそうか

イープラスからは、警察への届け出や不正アクセスの原因・侵入経路に関する調査結果、再発防止策について続報が発表される可能性があります。今回のように長期間の累積データが対象になる事案では、対象件数や範囲が調査の進展とともに見直されることもあるため、続報の有無を確認しておくと安心です。IT Postでは、新しい発表があり次第あらためて取り上げます。