チケット販売のイープラス（東京都渋谷区）、電子チケット「スマチケ」の払戻し管理システムに不正アクセス — 払戻し申請者1,463件が漏えい、うち751件に振込先口座情報
| 項目 | 内容 |
|---|---|
| 発生日 | 不正アクセス: 2026年9月11日19時58分〜9月12日2時44分（複数回） |
| 公表日 | 2026年9月29日 |
| 対象組織・業界 | 株式会社イープラス（東京都渋谷区恵比寿／チケット販売サイト「e+」の運営） |
| 影響件数 | 1,463件（2022年6月30日〜2026年9月11日に電子チケット「スマチケ」の払戻しを申請した一部の利用者）。うち751件に振込先口座情報を含む |
| 攻撃手法 | 払戻し情報を管理するシステムへの不正アクセス。侵入経路は公表されていない |
| 情報源 | ITmedia NEWS（2026年9月29日）、EnterpriseZine（2026年9月）、電ファミニコゲーマー（2026年9月29日） |
株式会社イープラス（東京都渋谷区恵比寿／チケット販売サイト「e+」の運営）は2026年9月29日、同社のシステムが第三者から不正アクセスを受け、個人情報が漏えいしたと公表しました。
不正アクセスを受けたのは、電子チケット「スマチケ」の払戻し情報を管理するシステムです。対象となるのは、2022年6月30日から2026年9月11日までに払戻しを申請した一部の利用者で、件数は計1,463件と公表されています。
漏えいした情報は、1,463件すべてについてカナ氏名、メールアドレス、払戻しの対象となった公演の名称・会場・日時です。このうち751件には、金融機関名・支店名・口座番号などの振込先口座情報が含まれます。
同社は自社の管理下にあるシステムを調査し、対象箇所以外に漏えいや不正アクセスがなかったこと、データベースの改ざんが行われていないことを確認したとしています。対象となる利用者には、9月29日から順次、個別にお詫びと連絡のメールを送っています。
- 2026年9月11日19時58分〜9月12日2時44分: 払戻し情報を管理するシステムに対する不正アクセスが複数回発生
- 2026年9月14日〜15日: 不正アクセスと個人情報漏えいの事実を確認
- 2026年9月15日: 当該システムのセキュリティ設定を見直し、不正アクセスを遮断する措置を実施
- 2026年9月29日: 事案を公表。対象者へ個別の連絡を開始。対象箇所以外への漏えいとデータベースの改ざんがないことを確認済みと説明
不正アクセスを受けたのは会員データベースではなく、払戻し情報を管理するシステムでした。一方でそこには、振込先の口座情報という重要な個人情報が保存されていました。
返金のように特定の業務だけで使うシステムについても、何を保存しているかを把握し、不要になったデータを残し続けないことが重要です。本件の対象は2022年6月30日からの約4年3か月分でした。あわせて、口座情報を扱う管理画面には、多要素認証やアクセス元の制限など、通常より厳しいアクセス制御が求められます。
同社は、対象箇所以外への漏えいや不正アクセスは確認されていないとしています。扱う情報ごとにシステムを分けておけば、侵害を受けたときに被害が及ぶ範囲を限定できます。
ヤグラの視点 — 周辺システムも監視できているか
Section titled “ヤグラの視点 — 周辺システムも監視できているか”対策は主要なシステムに集中しがちですが、返金や問い合わせといった周辺のシステムにも、口座情報のような重要なデータが保存されています。
本件の不正アクセスは9月11日夜から12日未明にかけて発生し、確認されたのは14日から15日にかけてでした。侵入経路も発覚のきっかけも公表されていませんが、重要な情報を持つ周辺システムについても、認証やデータ参照のログを監視し、普段と異なる動きを早く見つけられる体制が要ります。大量のログを人手だけで確認するのは難しいため、AIで異常な挙動を絞り込んで担当者の確認につなげる形が現実的です（→ ヤグラ AI SOC）。
- 侵入経路と原因（「セキュリティ設定を見直した」とされている箇所の具体）
- 振込先口座情報を用いた二次被害の有無
- 2022年6月以降の払戻しデータが保持されていた経緯と、保持期間の見直し
- 個人情報保護委員会への報告と、同社が公表する再発防止策
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-09-30 | 第一報を公開 |
