GETTIISの会員ID31万7,971件が漏洩、パスワードハッシュ31万1,451件も対象　リンクステーションが第2報

チケット販売サービス「GETTIIS（ゲッティーズ）」を運営する株式会社リンクステーションは2026年10月20日、不正アクセスによる会員情報の漏えいについて第2報を公表しました。会員ID31万7,971件、ハッシュ化されたパスワード31万1,451件、メールアドレス31万1,426件など、情報項目ごとの流出件数を明らかにしています。

不正アクセスを受けたのは公演主催者向けサービス「Gettii-Lite」のサーバーで、同システムのプログラムの脆弱性を悪用して、購入者向けサービス「GETTIIS」の会員情報が取得されたと説明しています。クレジットカード関連情報も2万9,515件含まれますが、完全なカード番号やセキュリティコードの漏えいを公表したものではありません。

GETTIISの不正アクセス・第2報のサマリー

• 公表日：2026年10月20日。10月19日付の第1報に続き、流出した情報項目別の件数を公表しました。
• 不正アクセス：10月18日午前0時ごろから午前7時ごろにかけて発生しました。
• 攻撃されたシステム：主催者向け公演登録サービス「Gettii-Lite」のサーバー。
• 影響を受けた情報：購入者向けチケット販売サービス「GETTIIS」の会員情報。
• 流出を確認した会員ID：31万7,971件。
• ハッシュ化されたパスワード：31万1,451件。平文パスワードの流出ではありません。
• メールアドレス：31万1,426件。氏名は30万9,759件、電話番号は30万9,668件。
• クレジットカード関連情報：2万9,515件。カード番号の先頭・末尾各4桁、名義、暗号化した有効期限が対象です。
• 会社側の対応：対象サーバーの切り替えと脆弱性対策を完了し、対象者へ個別にメールで通知しました。
• 「Gettii」「Gettii-EC」は別のシステム環境で運用されており、今回の影響は確認されていません。

流出した会員情報の内訳　会員ID31万7,971件、カード関連情報2万9,515件

リンクステーションが第2報で公表した流出確認件数は次のとおりです。

これらは情報項目ごとの件数であり、同一会員に複数項目が含まれる場合があります。すべてを合計して被害者数とみなしたり、31万7,971人の実人数が確定したと表現したりすることは適切ではありません。

第1報では流出した、または流出したおそれのある情報の種類を説明していましたが、第2報では調査結果として項目別の漏えい件数を明示しました。会社側は、今回公表した項目以外の情報の漏えいは現時点で確認されていないとしています。

Gettii-Liteのプログラムの脆弱性が悪用、10月18日未明に会員情報を取得

同社は10月18日にシステムへの不審なアクセスを確認し、調査を開始しました。その結果、同日午前0時ごろから午前7時ごろまでの間に、第三者が「Gettii-Lite」のプログラムの脆弱性を悪用して「GETTIIS」の会員情報を不正取得していたことが判明しました。

「Gettii-Lite」は公演主催者が公演情報を登録するためのサービスで、「GETTIIS」は利用者がチケットを購入するサービスです。今回の事案では、攻撃を受けたサービスと流出した会員情報のサービスが異なる点が特徴です。

一方、同社が提供する「Gettii」および「Gettii-EC」は別環境で運用されており、今回の不正アクセスによる影響は確認されていません。侵入に使われた個別の脆弱性番号や具体的な技術的手口について、第2報は示していません。

同社は対象サーバーの切り替えと脆弱性への対策を完了したと説明しており、漏えい対象の利用者へメールで通知しています。原因と影響範囲については引き続き調査し、追加事項が判明した場合に公表する方針です。

カード関連情報の流出で何が危険なのか　完全なカード番号は保存せず

流出を確認した「クレジットカード関連情報」2万9,515件には、カード番号の先頭4桁と末尾4桁、カード名義、暗号化された有効期限が含まれます。同社によると、完全なカード番号およびセキュリティコードは保存しておらず、今回流出した情報だけではクレジットカード決済を行えません。

そのため、今回の公表を「カード番号が全桁流出した」「2万9,515件のカードで不正決済が可能になった」と解釈するのは誤りです。

ただし、カード名義や番号の一部が氏名・メールアドレス・電話番号と組み合わされると、カード会社やチケット販売事業者を装った連絡に説得力を持たせる材料となる可能性があります。たとえば「登録カードの確認」「チケット決済の再認証」などを口実に、偽サイトへ誘導して不足するカード情報や認証コードを入力させる手口には注意が必要です。これは想定される二次被害の説明であり、今回このような詐欺が実際に発生したと会社が認めたものではありません。

利用者は、カード利用明細の不審な請求を確認するとともに、メールやSMSに記載されたリンクからカード情報を入力しないようにしてください。気になる取引がある場合は、カード裏面や公式アプリに記載された発行会社の連絡先に直接相談する方法があります。関連する対処法は個人情報漏えい時のリスクと対策でも整理しています。

ハッシュ化パスワードの流出と、他サービスへの不正ログインの危険性

ハッシュ化とは、パスワードを元の文字列とは異なる値に変換して保存する仕組みです。同社は、平文のパスワードが漏えいしたわけではないと説明しています。ただし、ハッシュ値が取得された場合、設定されたパスワードの強度や保存方式などによっては、攻撃者が元の文字列を推測しようとする可能性があります。

特に、同じパスワードをメール、通販、SNS、金融サービスなどで使い回している場合、あるサービスで認証情報を推測されると別サービスへの不正ログインに悪用されるおそれがあります。実際にパスワードが復元された、または別サービスで不正ログインが起きたと確認されたわけではありません。

GETTIISの利用者は、会社の案内に従ってGETTIISのパスワードを変更してください。同じパスワードを利用している他のサービスについても、それぞれ異なる文字列に変更し、利用できるサービスでは多要素認証を設定することが対策になります。

氏名、連絡先、会員IDなどが組み合わされることで、実際の会員を狙ったフィッシング詐欺の材料になる危険性もあります。チケット当選、予約の取り消し、払戻しなどを装うメール・SMS・電話が届いた場合も、文面に記載されたURLをそのまま開かず、正規サイトや公式窓口から確認してください。

自分が流出対象か確認するには　GETTIISの登録情報編集画面を利用

リンクステーションは、漏えい対象者へ個別にメールで通知済みとしています。通知を受けた利用者は、GETTIISの公式サイトに直接アクセスし、マイページの「MENU」から「登録情報編集」を開くことで、登録している情報の種類を確認できます。

「プロフィール編集」では会員ID、氏名、電話番号、メールアドレス、郵便番号、性別、生年月日を、「クレジットカード登録」ではカード情報の登録有無を確認できます。ただし、これらは現在の登録状態を確認する手順であり、不正アクセス後に自身で登録情報を変更した場合、流出当時の情報と異なる可能性があります。

登録情報の確認だけでリスクへの対応が終わるわけではありません。パスワードの変更、使い回しの解消、不審な連絡の確認をあわせて実施してください。リンクステーションは、メールや電話などでパスワード、カード番号、暗証番号を尋ねることはないと明記しています。

チケット販売システムの運営者が確認したい脆弱性対策と情報管理

今回の公表では、公演主催者向けのプログラムの脆弱性が、購入者向けサービスの会員情報の流出につながりました。類似した複数のWebサービスを運営する組織では、システムごとの稼働環境が分かれているかだけでなく、一方の侵害が他方のデータへ到達しないように権限・データベース接続・APIなどの境界を点検することが考えられます。

具体的には、公開Webアプリケーションの脆弱性の継続的な把握、修正後の検証、機能・サービス単位のアクセス権限の最小化、認証情報の適切な分離、会員情報の大量参照・取得を検知するログ監視などが確認項目となります。複数システムで顧客データを共有する構成の場合は、主催者向け管理機能から購入者情報にアクセスできる範囲と、その正当な業務上の理由も棚卸しする必要があります。

こうした対策は一般的な再発防止の検討事項であり、リンクステーションのシステムで各対策が欠けていたと断定するものではありません。継続的な発見・評価・修正の進め方は、脆弱性管理の基本と運用方法でも解説しています。出典

• 不正アクセスによるGETTIIS会員情報の漏えいに関するお詫びとお知らせ（第二報）／2026年10月20日 – GETTIIS・株式会社リンクステーション
• 不正アクセスによるGETTIIS会員情報の漏えいに関するお詫びとお知らせ（第一報）／2026年10月19日 – GETTIIS・株式会社リンクステーション