株式会社イープラス／スマチケ（払戻し情報管理システム）

チケット販売「イープラス」の払戻し管理システムに不正アクセス、口座情報を含む 1,463件

最終更新 2026-10-11

概要（公表された事実）

公表主体	株式会社イープラス
業種	サービス業（他に分類されないもの）
経緯	侵入: 2026-09-11 判明: 2026-09-14 第1報: 2026-09-29
件数	最大 1,463 件 2022年6月30日〜2026年9月11日に「スマチケ」から払戻し申請した一部の客
漏えいした情報	メールアドレス、カナ氏名、振込先口座情報（銀行振込 751件）、郵便振替払出証書の送付先住所・氏名、払戻し対象の公演名・会場・開催日時
含まれない情報	クレジットカード情報、パスワード
報告先	個人情報保護委員会

侵入経路	原因非公表公演中止・延期に伴う払戻し情報を管理するシステムへの第三者による複数回の不正アクセス。手口は非公表。遮断措置として「セキュリティ設定を見直し」たとしている
MFA	不明
委託先・SaaS 経由	公表文では触れられていない
原因の公表度	非公表
判定	判定に必要な事実が非公表根拠: 原因が公表されていない（判定ルール）

「第三者から不正アクセスが行われたことによるものと考えられます」

侵入経路の根拠／出典

「2026年9月11日(金) 19時58分～ 9月12日(土) 2時44分：不正アクセスが複数回発生」

侵入日の根拠／出典

この節は公表された事実ではなく、公表文から読み取れる範囲の推定です。

イープラスは手口を出していない。以下は公表文の言葉から読み取れる範囲の推定。

遮断の手段が「該当システムのセキュリティ設定を見直し」で、修正プログラムの適用やコード修正とは書かれていない。アクセス制御や公開範囲などの設定の不備を突かれた可能性がある
対象が払戻しシステムだけで、会員 DB とは独立しており他システムへの波及もないとしている。払戻し申請の管理画面や API が外部から到達できる状態だった、という形と合う
ただしパスワード推測や脆弱性悪用でも同じ書き方になりうる。原因の種類は公表されていない