チケット購入サービス「GETTIIS」に不正アクセス。会員約31万件の氏名や電話番号、カード情報の一部が漏えい

01発表されている事実

同社は10月18日に不審なアクセスを確認して調査を始め、同日の午前0時ごろから午前7時ごろにかけて、第三者がGettii-Liteの脆弱性を悪用して会員情報を不正に取得していたことが分かりました。10月19日に第一報、20日に第二報で件数を公表しています。

件数は項目ごとの数で、合計の人数ではありません。カード関連情報は、カード番号の先頭4桁・末尾4桁、名義、有効期限を暗号化したものです。完全なカード番号とセキュリティコードは保存しておらず、漏えいした情報だけでは決済できないとしています。パスワードはハッシュ化して保存しており、そのままの文字列が漏れたわけではありません。対象サーバーの切り替えと脆弱性への対策は完了し、対象者にはメールで個別に連絡済みです。

02読者への影響

ライブや演劇、スポーツのチケットをGETTIISで買った人が対象です。メールアドレスとハッシュ化されたパスワードがそろって漏れているため、単純なパスワードだと元の文字列を割り出され、同じ組み合わせを使うほかのサービスで不正ログインされるおそれがあります。「公演中止の払い戻し」「当選のお知らせ」など、チケットらしい偽メールにも注意が必要です。

03今すぐやること

1. GETTIISのパスワードを変える。同じパスワードをほかで使っていれば、そちらも別々のものに変える
2. マイページの「MENU」→「登録情報編集」で、自分が登録している項目（＝漏えいの対象になった項目）を確かめる
3. 払い戻しや当選をうたうメール・SMSのリンクは開かない。同社はメールや電話でパスワード、カード番号、暗証番号を尋ねることはないとしています
4. カードを登録していた人は、利用明細を確かめる

04同じことを防ぐには（会社の方へ）

今回は、利用者向けの画面ではなく、主催者向けのサービスの脆弱性が入口でした。取引先が使う管理画面は利用者が少ないぶん、更新や診断が後回しになりがちです。外部に公開しているシステムを一覧にして、すべてを脆弱性診断の対象に入れておくことが基本になります。

05今後の発表

同社は原因と影響範囲の調査を続け、追加で分かったことはGETTIISのお知らせで知らせるとしています。問い合わせは pms@linkst.jp（24時間受付・順次対応）です。