イープラス「スマチケ」の払戻し情報1,463件が漏えい（2026年）

何が起きたか

イープラスは、電子チケット「スマチケ」の払戻し情報を管理するシステムが第三者から不正アクセスを受け、顧客の個人情報を含む一部の情報が漏えいしたと発表しました。不正アクセスは2026年9月11日夜から12日未明の間に複数回ありました。イープラスの発表

漏えいしたのは、2022年6月30日から2026年9月11日までに、スマチケから払戻しを申請した人のうち一部の情報、合計1,463件です。この期間は払戻し申請の対象期間であり、攻撃が4年間続いたという意味ではありません。1,463件を人数とは言い換えません。イープラスの発表

被害と影響

漏えいした情報は、返金方法によって異なります。どの区分にも、対象公演の名前、会場、開催日時が含まれています。イープラスの発表「2. 漏えいした個人情報」

「クレジットカード返金」は返金方法の名称です。同社は、クレジットカード情報や会員パスワードは今回の漏えい対象に含まれないと説明しています。払戻し情報を管理するシステムは、会員情報やチケット購入情報のデータベースから独立していました。また、紙チケットなどスマチケ以外で受け取り、払戻しをした人の情報は対象外と説明しています。イープラスの発表「1. 経緯」「2. 漏えいした個人情報」

同社は、対象システムのセキュリティ設定を見直して不正アクセスを遮断し、対象者には9月29日から順次メールで知らせたと発表しました。対象者には、イープラス会員ではない同行者も含まれます。対象外のシステムへのアクセスや、データの改ざんなどはなかったというのが、9月29日時点の同社の調査結果です。イープラスの発表「3. 原因」「4. 現時点の対応状況」

出来事の時系列

上記の日付はイープラスの2026年9月29日の発表に基づきます。

まだ分かっていないこと

参照した同社の発表からは、最初の侵入経路、使われた脆弱性や認証情報、漏えい情報が悪用されたかどうかを確認できません。また、サービスが停止したという記載も確認できません。9月15日の遮断措置を、利用者向けサービスの停止と読み替えません。イープラスの発表

この事例から分かること

チケットの会員・購入情報とは分かれた払戻しシステムにも、口座情報など重要な情報が保管されていました。この事例では、銀行振込で払戻しを受ける人の口座情報を含め、1,463件の情報漏えいが確認されています。イープラスの発表