チケット予約サービス「JapanTicket」を運営する Japanticket は10月30日、サービスで使っている外部の分析ツールが第三者の不正アクセスを受け、予約・購入客の個人情報が漏えいしたと第1報で発表した。特定できた範囲で最大約26.4万件、項目は氏名（フリガナを含む）、メールアドレス、電話番号、国・地域、予約・注文内容、備考欄の記載内容で、件数は精査中だという。
JapanTicket と連携する別の予約サイトから予約した人も対象に含まれる。自分では JapanTicket を使った覚えがなくても、施設の予約の裏側でこの仕組みを通っていた可能性がある。
漏れたもの、含まれなかったもの
第1報によると、10月28日に不正アクセスを検知し、同日中に経路を遮断した。遮断後に新たな不正アクセスは確認されていない。持ち出しの時期は調査中だが、9月15日以前に持ち出された可能性があり、9月16日以降に持ち出された記録は確認されていないとしている。
含まれなかったものも書かれている。
- クレジットカード番号は対象外。同社が持つ下4桁も対象外で、全桁はもともと保有していない
- ログインパスワードの漏えいは、現時点で確認されていない
- 他システムへの不正アクセス、データの改ざん・削除、二次被害は現時点で確認されていない
利用施設の側からも告知が出ている。ちいかわベーカリーは公式 X で、チケット購入サイトとして使う Japanticket の外部ツールが不正アクセスを受けたと知らせた。
備考欄に何を書いたか
項目の中で見落としやすいのが、予約・注文内容と備考欄だ。いつ、どこへ、何人で行く予定だったかに加え、予約時に書き添えた要望や連絡事項も含まれうる。氏名と電話番号に予約の中身が加わると、「ご予約の件で確認があります」という連絡は、本物とまったく同じ顔をする。
Japanticket は、同社や予約サイト、予約先の施設を装った不審なメール・SMS・電話に注意するよう求めている。同社がカード番号やパスワードの入力・提供を求めることはないとし、不審な連絡ではリンクや添付ファイルを開かず、返信や支払いもしないよう呼びかけている。予約の確認や変更が本当に必要かは、届いた連絡からではなく、自分で予約先の施設や予約サイトを開いて確かめるのが確実だ。
案内の方法は、まだ決まっていない
対象者への案内は、予約サイトの運営会社や予約先の施設と協議して決めるとしており、誰からどの手段で届くかはまだ分からない。個人情報保護委員会へ報告し、警察にも連絡済みだという。
個人の問い合わせ窓口は privacy@japanticket.com で、メールで随時受け付けている。次に確かめたいのは、同社のお知らせページに出る第2報だ。同社は、新たな事実が分かればこのページで知らせるとしており、対象件数の確定と案内の方法はそこで確かめられる。
ことば
- 外部分析ツール — サイトの利用状況などを調べるために、運営会社が外から組み込む仕組み。今回はこの種のツールが入口になったが、名称や種類は第1報では明かされていない。
- 備考欄 — 予約時に自由に書き込める欄。到着時刻や人数の補足、要望などが入る。決まった項目より、書いた人ごとに中身が違う点が特徴だ。
予約のときに備考欄へ書いた内容を、あなたは今、どこまで思い出せるだろうか？
