TopicBase
NTTドコモ系の電子チケット販売・管理サービス「teket」で不正アクセスによる情報流出があり、すべての会員の氏名とメールアドレスが流出しました。サービスは11月5日20時30分から全面停止しており、再開時期は未定です。購入済みのQRチケットも表示できず、停止期間中の公演では購入完了メールなどによる受付に切り替わっています。
氏名・メールアドレスのほか、住所や発券用コードも流出
流出した情報には、すべての会員の氏名とメールアドレスに加え、登録・購入を行った会員の生年月日、年齢、性別、住所、電話番号が含まれます。チケットの発券用コードと、主催者が発行したシリアルコードも対象で、流出件数は精査中です。
teketは11月5日、サーバーが外部から不正アクセスを受けた可能性が高いと判断し、サービスを停止して遮断措置を実施しました。翌6日の調査で、会員情報などを管理するシステムへの不正アクセスと、内部に保管していた情報の流出を確認し、同日に個人情報保護委員会へ報告しています。
現時点で、不正ログインや流出情報の悪用などの二次被害、新たな不正アクセスは確認されていません。teketは原因と影響範囲の調査を進め、対象者を特定したうえで順次案内する方針です。
公演の受付は購入完了メールや購入者名で対応
サービス停止中に開催される公演では、購入者が受付で購入完了メールを提示します。メールが見つからない場合は、受付で購入者名を伝える方式です。主催者から個別の入場案内がある公演では、その案内に沿って受付が行われます。
主催者側でも、管理画面へのログインとQRチケットによる受付が停止しています。teketは主催者に購入完了メールによる入場確認を求め、必要な購入者リストを個別に案内します。売上金は通常のスケジュールで入金する予定です。
QR受付ではチケットごとの使用状態を管理
ほかの入場管理サービスには、読み取ったコードの使用状態をサーバーで確認する方式があります。招待制イベント向けの「InviteKey」では、オンライン時は各受付端末が同じサーバーで入場を確認し、最初の入場記録を共有することで、使用済みのQRコードによる別の入口からの入場を防ぎます。
電子チケットサービス「LivePocket」でも、QRコードチケット1枚につき受付認証は1回で、一度認証したチケットは再認証できない仕組みです。主催者がチケットを「未入場」の状態に戻すと再び認証できますが、その場合は入場時間が最後の受付時刻に上書きされます。
流出した連絡先を使った偽メールや電話のリスク
teketは、同サービスを装ったメール、SMS、電話が届く可能性があるとしています。teketがメール、SMS、電話でパスワードやクレジットカード情報を尋ねることはありません。
今回の流出対象に含まれる氏名やメールアドレス、住所、電話番号について、情報処理推進機構（IPA）は、情報がリスト化され、詐欺目的の偽メールや偽SMS、電話、不審な郵便物に悪用される可能性を挙げています。偽メールの文面に、流出した本人の氏名が記載される可能性もあります。
