要点
発表された事実
- リンクステーションは2026年10月19日（第一報）と20日（第二報）、同社のチケット販売サービス「Gettii-Lite」のサーバーに第三者が不正アクセスし、同社が管理する「GETTIIS」の会員情報が外部に流出したと発表した。Gettii-Liteは主催者向けの公演登録サービス、GETTIISは購入者向けのチケット購入サービス（GETTIIS 第二報、第一報）。
- 10月18日に不審なアクセスを確認して調べたところ、同日午前0時頃から7時頃にかけて、第三者がGettii-Liteのプログラムの脆弱性を悪用してGETTIISの会員情報を不正に取得していた（第二報）。
- 漏えいした情報と件数（項目ごとの件数で、合計人数ではない）：会員ID 31万7971件、ハッシュ化されたパスワード31万1451件、クレジットカード関連情報2万9515件、氏名30万9759件、性別5900件、生年月日5192件、郵便番号489件、電話番号30万9668件、メールアドレス31万1426件（同）。
- クレジットカード関連情報は、カード番号の先頭4桁・末尾4桁、名義、有効期限を暗号化した情報。完全なカード番号とセキュリティコードは保存しておらず、漏えいした情報だけでは決済できないとしている。パスワードはハッシュ化して保存していた（同）。
- 「Gettii」と「Gettii-EC」は別のシステム環境で運用しており、影響は確認されていない（同）。
- 対象サーバーの切り替えと、悪用された脆弱性への対策を完了。対象者には個別にメールで連絡し、関係機関に報告済み。利用者にはパスワードの変更を求めている（同）。
わかっていないこと
- 悪用された脆弱性の種類（SQLインジェクション、認可の不備など）と、公開されている製品・部品の既知の脆弱性か、自社プログラム固有の欠陥か
- 主催者向けの公演登録サービスから、購入者の会員情報にアクセスできた理由（データベースの共有など）
- パスワードのハッシュ方式（ソルトの有無、アルゴリズム）
- 「暗号化した」カード関連情報の暗号鍵が一緒に取られた可能性の有無
- 主催者側（Gettii-Lite利用者）の情報や公演・購入履歴が対象に含まれるか
関係しそうな既知の手口
- （考察）主催者向け・事業者向けの管理系サービスの脆弱性から、一般利用者の会員データベースに届いてしまう形は、JPCERT/CCが注意喚起で挙げた「不特定多数のアクセスを想定していない管理・運用側のシステムが被害に遭う」ケースに近い。7時間で約32万件という取得の速さは、手作業ではなく自動化された大量取得だったことをうかがわせる。
概要
- チケット購入サイト「GETTIIS」の会員約32万件の氏名・電話番号・メールアドレス・ハッシュ化パスワードなどが流出した。
- 入口は、同じ会社が主催者向けに提供する公演登録サービス「Gettii-Lite」のプログラムの脆弱性。
- カード関連情報は一部の番号と名義・有効期限を暗号化したもので、完全な番号やセキュリティコードは含まれない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-18（日）0:00頃〜7:00頃 | 第三者がGettii-Liteのプログラムの脆弱性を悪用し、GETTIISの会員情報を不正に取得（リンクステーション第二報） |
| 2026-10-18（日） | 不審なアクセスを確認し、調査を開始（同） |
| 2026-10-19（月） | 第一報を公開（同） |
| 2026-10-20（火） | 第二報で漏えい件数と対応状況を公表。対象サーバーの切り替えと脆弱性対策を完了、対象者に個別メール（同） |
発表内容の整理
事実（リンクステーションの発表）
| 項目 | 内容 |
|---|---|
| 侵入されたもの | 主催者向け公演登録サービス「Gettii-Lite」のサーバー |
| 原因 | Gettii-Liteのプログラムの脆弱性（詳細は非公表） |
| 漏えいした情報 | GETTIIS会員情報（会員ID、ハッシュ化パスワード、氏名、電話番号、メールアドレス、性別、生年月日、郵便番号、クレジットカード関連情報） |
| 最大の件数 | 会員ID 31万7971件 |
| カード関連情報 | 2万9515件。先頭4桁・末尾4桁、名義、有効期限を暗号化した情報。完全な番号とセキュリティコードは保存なし |
| 影響が確認されていないもの | Gettii、Gettii-EC（別のシステム環境） |
| 対応 | サーバー切り替え、脆弱性対策、対象者への個別メール、関係機関への報告、警察への相談 |
考察
カード関連情報は完全な番号を含まないため、それだけで不正決済はできない。ただ、「末尾4桁と名義と有効期限」は、カード会社や販売店を装う電話・メールで本人確認を装う材料に使われることがある。氏名と電話番号が約31万件そろって取られていることもあり、チケットの払い戻しや公演中止を口実にした詐欺の連絡に注意が必要だ（考察）。
パスワードはハッシュ化されているが、ハッシュ方式によっては推測しやすいパスワードから復元されるおそれがある。同社が他サービスでの使い回しの変更まで呼びかけているのはそのためで、利用者側でも対応しておきたい（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは国内で相次ぐ不正アクセスについて、標的ごとに既知の脆弱性を探索して悪用を試みる攻撃や、従業員向け管理システムなど管理・運用側のシステムが被害に遭い内部の情報が漏えいするケースがあるとして、管理機能の公開範囲の見直しや既知の脆弱性の修正を求めている（JPCERT/CC）。
考察
主催者向けのサービスは、公演を登録する事業者だけが使う前提で作られていても、インターネットに公開されていれば誰でも攻撃できる。そこから購入者のデータに届いた点は、サービスごとにデータベースや権限を分けておく重要さを示している。どの層の脆弱性だったかが公表されれば、同種のチケット・予約システムの運営者が自社を点検する手がかりになる（考察）。
利用者・運用者がいまできること
- GETTIISの会員は、リンクステーションからの連絡メールの有無を確認し、GETTIISのパスワードを変更する。同じパスワードを他のサービスで使っている場合はそちらも変える。
- チケットの払い戻し、公演中止、カード情報の確認などを口実にした不審なメール・SMS・電話に注意する（同社はメールや電話でパスワードやカード番号を尋ねないとしている）。
- 事業者向けの管理系サービスと一般利用者向けサービスを同じ会社で運営している場合は、両者のデータベース・アカウント・ネットワークが分離されているかを確認する。