チケット販売大手のイープラス（東京）は9月29日、電子チケット「スマチケ」の払戻し情報を管理するシステムが第三者から不正アクセスを受け、利用者の個人情報1463件が漏えいしたと発表した。このうち751件には、払戻しの振込先である銀行口座の情報が含まれている。同社は「多大なるご迷惑とご心配をおかけしますことを、深くお詫び申し上げます」としている。

侵入は深夜の7時間　気づいたのは3日後

発表によると、不正アクセスを受けたのは、公演の中止・延期などに伴う払戻しの情報を管理するシステムである。侵入は2026年9月11日午後7時58分から12日午前2時44分にかけて、複数回にわたって行われた。

同社が不正アクセスと個人情報漏えいの事実を確認したのは9月14日から15日にかけてで、15日中に該当システムのセキュリティ設定を見直し、不正アクセスを遮断する措置をとった。その後、同様の事象は発生していないことを確認しているという。以降は同社の管理下にある全システムを再検査し、セキュリティを強化したとしている。

侵入が始まってから遮断までは4日間空いた。攻撃が深夜帯の7時間に集中しており、その時点では検知に至らなかったことになる。同社は原因について「第三者から不正アクセスが行われたことによるもの」とするにとどめ、どの経路から入られたかは明らかにしていない。侵入したシステム以外へのアクセスや、ファイルの改ざんは行われていないことを確認したとしている。

口座情報751件、住所68件　払戻し方法で中身が違う

漏えいの対象は、スマチケでチケットを受け取り、2022年6月30日から2026年9月11日の間に払戻しを申請した一部の利用者で、合計1463件である。約4年3カ月分の申請記録がシステムに残っていたことになる。

漏えいした情報は、払戻しをどの方法で受けたかによって異なる。最も多い銀行振込の751件では、メールアドレスとカナ氏名に加え、金融機関名・支店名・口座種別・口座番号・口座名義（カナ）という振込先口座の情報が丸ごと含まれる。クレジットカード返金の644件はメールアドレスとカナ氏名、郵便振替払出証書の68件はメールアドレスとカナ氏名に加えて送付先の郵便番号・住所・氏名である。いずれの場合も、払戻し対象となった公演名、会場、開催日時の情報が含まれる。

一方、クレジットカード番号は同社のシステム内に保持していないため漏えい対象に一切含まれない。また、今回のシステムは会員情報やチケット購入に関する情報を保管するデータベースとは独立しており、会員のパスワードも含まれていないという。紙のチケットなどスマチケ以外の方法で受け取って払戻しを受けた利用者も対象外である。

対象者には9月29日から順次、個別にお詫びとお知らせのメールを送っている。イープラスの会員ではない同行者も対象に含まれる。チケットを申し込んだ本人ではなく、一緒に行った人の情報が入っている場合があるためだ。

口座情報の漏えいは報告義務の対象　年1万7000件超のうちの1件

個人情報保護委員会は、一定の類型に当たる漏えいについて、事業者に委員会への報告を義務づけている。不正に利用されると財産的な被害が生じるおそれのある個人データが漏れた場合と、不正の目的をもって行われたおそれのある行為によって漏れた場合はいずれも報告の対象で、「不正アクセスにより個人データが漏えいした場合」は後者の例として明示されている。本人の数が1000人を超える場合も対象になる。報告の期限は、不正な目的で行われたおそれがある場合、発覚日から60日以内である。

今回は振込先の口座情報が751件含まれており、件数の面でも1463件と1000を超える。同社は既に個人情報保護委員会へ報告し、所轄の警察署への届出を準備しているとしている。

この種の報告は珍しいものではない。同委員会の令和7年度年次報告によると、民間の個人情報取扱事業者から寄せられた漏えい等事案に関する報告の処理は同年度で1万7139件にのぼった。前年度の1万9056件からは減ったものの、年間で1万件を大きく超える水準が続いている。行政機関側でも政府共通の業務基盤GSSに不正アクセス、職員ら24.6万件の個人情報が漏えいの可能性　入り口はVPN機器の脆弱性のように大規模な事案が起きている。

規律の側も強まる方向にある。個人情報の悪質な取り扱いに課徴金　違反で得た利益を国が取り上げ　本人1000人超が基準、繰り返しは1.5倍・自主申告で半額で伝えたとおり、改正個人情報保護法では違反で得た利益を国が取り上げる仕組みが導入される。

同社は再発防止策として、管理下の全システムの総点検を進めるほか、セキュリティ診断を実施する間隔を短くし、情報セキュリティ研修や社内規定の見直し、管理体制の強化を進めるとしている。不審な連絡や金融機関口座での不審な取引に心当たりがある場合は、専用の問合せ窓口へ連絡するよう呼びかけている。