イープラスの「スマチケ」払戻しシステムに不正アクセス。1,463件が漏えい、751件は振込先の口座情報も

01発表されている事実

1. 9月11日19時58分〜12日2時44分

   不正アクセスが複数回発生

2. 9月14日〜15日

   不正アクセスと漏えいを確認。15日中にセキュリティ設定を見直し、遮断

3. 9月29日

   公表。対象者へ個別のメールを順次送付

漏えいしたのは、スマチケで受け取ったチケットについて、2022年6月30日から2026年9月11日までに払戻しを申し込んだ一部の人の情報です。どの方法で返金を受けたかで、漏れた項目が違います。いずれも、払戻しの対象になった公演名、会場、開催日時を含みます。

イープラスによると、このシステムは会員情報やチケット購入の情報を持つデータベースとは別になっています。紙のチケットなど、スマチケ以外で受け取って払戻しをした人は対象外です。個人情報保護委員会に報告し、警察署への届出を準備しているとしています。侵入の手口は公表されていません。

02読者への影響

漏れた情報には「どの公演の払戻しを申し込んだか」が含まれます。公演名と払戻しの事実を知っている相手なら、「払戻しの手続きに不備があります」「追加の返金があります」といった、本物らしいメールを作れます。銀行振込を選んだ751件は、口座の情報もそろっています。

03今すぐやること

1. イープラスから個別のメールが届いていないか確かめる。対象の人には専用のフリーダイヤルが案内されている
2. 払戻しや返金を口実に、カード番号や暗証番号、ネットバンキングのログインを求めるメールやSMSには答えない
3. 銀行振込で返金を受けた人は、通帳やアプリで覚えのない取引がないか確かめる。気になることがあれば、銀行とイープラスの窓口に連絡する
4. イープラスのログインには、ほかで使っていないパスワードを使う

04同じことを防ぐには

払戻しのように一時的な手続きのための情報も、システムに残っていれば狙われます。会社は、手続きが終わった情報をいつ消すかを決め、管理画面の入口を外から入りにくくしておくことが大切です。イープラスは10月30日に、フェス専用アプリの管理システムが管理画面への総当たり攻撃で侵入され、3,571件の氏名・電話番号・メールアドレスが流出した別の件も発表し、多要素認証などの実装を進めるとしています。図鑑の用語集の「フィッシング」では、偽のメールの典型を確かめられます。

05今後の発表

イープラスは、全システムの総点検とセキュリティ診断の短い周期での実施、社内規定の見直しなどを進めるとしています。