チケット販売のイープラスは10月30日、2021年12月の音楽フェス「ポルノ超特急2021」専用アプリの管理システムが不正アクセスを受け、前方指定観覧エリアに申し込んだ人の氏名・電話番号・メールアドレス3,571件が外部へ流出したと発表した。同社の漏えいの公表は9月29日に続き、ほぼ1か月で2度目になる。
フェスが終わって5年近くたっても、申し込みのときに登録した連絡先は管理システムに残っていた。一度きりの催しに渡した情報が、いつまで、どこに残るのか。チケットを買う側が確かめられることを整理する。
流出したのは、フェス専用アプリの申込データ
最初に範囲を正確にしておきたい。対象はイープラス会員の全体ではない。イープラスは主催者からチケット販売を受託する際、一部の興行で専用の公式アプリを提供している。今回はそのうち、2021年12月17日から19日に開かれた「ポルノ超特急2021」向けの「FESアプリ」で、前方指定観覧エリアの申し込みを管理するシステムが狙われた。
- 不正アクセスの発生: 10月11日
- 漏えいの判明: 10月13日
- 件数: 3,571件
- 項目: 氏名、電話番号、メールアドレス
クレジットカード情報と、イープラスのチケット販売システムにログインするためのパスワードを含む会員情報は、このシステムには置いていなかったため対象外だという。
原因について、公表文は第三者が管理画面に総当たり攻撃を行って侵入したと書く。不正侵入を防ぐ対策が不十分だったことが最大の要因だと、同社自身が認めている。管理システム以外への不正アクセスや、データの改ざんは確認されていない。
9月の払戻しシステムに続く2件目
イープラスは9月29日にも、電子チケット「スマチケ」の払戻し情報を管理するシステムへの不正アクセスを公表していた。こちらは2022年6月30日から2026年9月11日までに払戻しを申し込んだ人の一部、1,463件で、銀行振込を選んだ751件には金融機関名や口座番号などの振込先口座情報が含まれていた。
二つの件は、どちらもチケット販売の本体ではなく、払戻しやフェス専用アプリといった周辺のシステムで起きている。今回の公表文には、9月の件を受けて全システムの総点検とセキュリティ強化を進めていた「さなか」に再び起きた、とある。同社は経営トップが率いる危機管理委員会を中心に、アクセス・閲覧権限の見直しや多要素認証の導入、攻撃を早く見つける仕組みや複数の脆弱性検査を進めるとしている。
対象かどうかを、自分の側から確かめる
イープラスは対象者に個別のメールを順次送り、専用のフリーダイヤルを案内している。被害の拡大を防ぐため、管理システムに残っていた個人情報は全件削除したという。
確かめ方には、いくつか落とし穴がある。
- 2021年当時の連絡先 — 知らせは申し込み時に登録したメールアドレスへ届くはずだ。当時のアドレスを今は使っていなければ、対象でも気づけない可能性がある。2021年12月にこのフェスの前方エリアへ申し込んだ覚えがあれば、公表文にある窓口へ自分から問い合わせるのが確実だ
- 名前と電話とメールの組み合わせ — カード番号や口座は含まれていないが、この三つが揃うと「チケット」「払戻し」「当選」を名乗る連絡の宛先として使える。届いたメールや SMS のリンクからではなく、自分で開いた公式サイトの窓口で確かめたい
- 残っているのは、この一件だけとは限らない — 終わったイベントのアプリ、使わなくなった会員登録にも、当時の連絡先が残っている。全部を思い出すのは難しく、手間もかかる。消してもらいたいものから、運営者に問い合わせるのが現実的だ
相次ぐ漏えいへの備えは、消費者庁がまとめた自衛策（「消費者庁、相次ぐ漏えいで自衛策6項目を注意喚起」）も手がかりになる。
次に見るもの
まず確かめたいのは、この数日のうちに届く個別のメールだ。受信箱だけでなく迷惑メールのフォルダも見ておきたい。その先の確認先は、イープラスのサポートサイトのお知らせ欄になる。9月と10月の公表文が並ぶ場所で、再発防止策の進み具合や、9月の件の続報が出るならここに載る。
ことば
- 総当たり攻撃 — パスワードの候補を機械で次々に試し、当たるまでログインを繰り返す攻撃。試行の回数制限や多要素認証がない管理画面は破られやすい。今回の侵入経路として公表文が挙げた手口だ。
- 多要素認証 — パスワードに加えて、スマートフォンに届く確認コードなど別の要素を求める仕組み。パスワードが当てられても、それだけでは入れなくなる。イープラスが再発防止策として導入を進めると書いている。
一度きりのイベントのために渡した連絡先を、あなたはいくつ思い出せるだろうか？
