電子チケットのteketが不正アクセスを受け全会員の氏名とメールが流出｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 電子チケットのteketが不正アクセスを受け全会員の氏名とメールが流出
             

電子チケットのteketが不正アクセスを受け全会員の氏名とメールが流出



株式会社teketは11月8日、電子チケット販売・管理サービス「teket」の会員情報を管理するシステムが第三者の不正アクセスを受け、顧客情報の一部が外部に流出したと発表した。すべての会員の氏名とメールアドレスが対象で、サービス停止は11月5日から続いており、対象件数は精査中である。

概要

teketの会員情報等を管理するシステムが第三者の不正アクセスを受け、保管していた顧客情報の一部が外部に流出した。同社は第一報として、情報の項目、サービス停止の状況、利用者と主催者への依頼事項を示した。

teketの発表によると、時系列は次のとおり。

11月5日、同社のサーバーに対する不正アクセスの可能性が高いと判断し、同日20時30分にサービスを停止した。

11月6日、会員情報等を管理するシステムから、顧客情報の一部が外部に流出したことを確認した。同日、個人情報保護委員会へ報告した。

11月8日、第一報として情報流出に関するお詫びとお知らせを公表した。サービス再開時期は現在精査中とされている。

不正アクセスの原因や侵入経路は、公表されていない。同社は原因および影響範囲の調査を進めているとしている。

なお、同社は10月30日にも別の件を公表している。コーポレートサイトで利用するクラウドサービス「Studio」への不正アクセスにより、お問い合わせ情報が漏えいした可能性があるという内容である。今回の事案との関係は、発表では示されていない。

被害・影響の範囲

流出が確認された情報は、利用状況によって異なる。すべての会員は氏名とメールアドレス、登録・購入した会員は生年月日、年齢、性別、住所、電話番号が対象となる。チケット購入者は、チケット発券用コードと主催者が発行したシリアルコードも含まれる。

対象件数は精査中で、確定した数字は公表されていない。公表された流出項目に、クレジットカード情報は挙げられていない。

二次被害は、11月8日の発表時点で確認されていない。

影響は利用者だけにとどまらない。サービス停止により、主催者管理画面へのログインとQRチケットの読み取りによる入場受付が使えない。京都モダン建築祭、札幌市青少年科学館、セシオン杉並など、teketでチケットを販売していた主催者も、利用者への告知を始めている。

企業・団体の対応

teketは、お詫びを示したうえで、全サービスを停止し、原因と影響範囲の調査を進めている。また、被害拡大と不正利用の防止に向けて、必要なセキュリティ対策を実施している。不正アクセスの遮断対応は継続しており、新たな不正アクセスや被害の拡大は確認されていない。

情報流出が確認された利用者には、対象範囲を特定したうえで順次案内するとしている。

利用者には、便乗した詐欺への注意を呼びかけている。teketを装ったメールやSMS、電話が届く可能性があり、心当たりのないメールのリンクや添付ファイルは開かないよう求めている。同社が、パスワードやクレジットカード情報をメール、SMS、電話で尋ねることはないとしている。

入場の方法も案内している。停止期間中の公演では、来場者が購入完了メールを提示して入場確認を受ける。必要な購入者リストは、同社が主催者へ個別に案内する。

編集部コメント（読者企業が取るべき対策）

今回の事案では、外部のチケットサービスが止まると、自社の入場受付や販売まで止まることが分かる。顧客情報を預けている委託先で事故が起きた場合、自社も利用者への説明を求められる。委託先の事故を想定した準備を、平時から進めておきたい。

利用状況の棚卸し
イベントや販売で外部のチケットサービスを使っている場合は、サービス名、利用目的、預けている情報の項目を一覧にする。主催者として顧客の氏名や連絡先を預けているなら、自社も情報の管理責任を負う。まずは現状を把握することから始めたい。

委託先への確認事項
委託先には、影響を受けた情報の項目と件数、停止期間、再開の見通しを確認する。個人情報保護委員会への報告状況や、利用者への通知を誰が行うかも、あわせて確認する。窓口と連絡手段は、事前に決めておくとよい。

フィッシング対策
流出した氏名とメールアドレスは、偽メールやSMSに悪用される恐れがある。顧客には、公式の連絡先以外のリンクを開かないよう周知する。自社が顧客にパスワードやカード情報を尋ねないことも、あわせて明記する。

代替の運用手順
システムが停止しても、入場や問い合わせに対応できる手順を用意する。購入完了メールの確認、購入者リストの照合、受付での本人確認などが候補になる。運用手順は、事前に担当者へ共有しておく。

顧客への情報提供
顧客への告知は、自社サイトやSNSなど、複数の手段で行う。委託先の発表を引用するだけでなく、自社の対応と問い合わせ先も示したい。発表内容が更新されたときは、告知もすみやかに更新する。

なお、対象件数、不正アクセスの原因、サービス再開時期は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

No related posts.

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。