要点
発表された事実
- 予約・チケット販売サービスのJapanticketは、予約サービスで使っていた外部の分析ツールが不正アクセスを受けたと2026年10月30日に第一報を出した。10月28日に検知し、同日中に連携を遮断した（LifeMakersによる第一報の整理、NHK）。
- 対象は最大約26.4万件で、精査中。連携サイト経由で予約した利用者も含まれる。項目は氏名（フリガナ）、メールアドレス、電話番号、国・地域、予約・注文内容、備考欄（同）。
- カード番号は対象外（下4桁も含まず、全桁は保持していない）。パスワードの漏えいは現時点で確認されていない。他システムへの侵入、改ざん・削除、二次被害も確認されていない。データは9月15日以前に持ち出された可能性があり、9月16日以降の持ち出しの記録はないとしている（同、セキュリティ対策Lab）。
- 山梨県は10月30日、Japanticketに委託していた富士山吉田ルートの通行予約のうち、2024年度（令和6年度）の約7万件が26.4万件に含まれるか確認中と発表した。項目は氏名、メール、電話番号、利用日、人数、日帰り・宿泊の別などで、2025〜2026年度のデータは対象外（山梨県、YBS山梨放送）。
わかっていないこと
- 外部分析ツールの名称と、不正アクセスの手口
- 最大約26.4万件の確定件数と、影響を受けた連携サイト・施設の全体像
- 富士山吉田ルートのデータが実際に含まれるか
- 分析ツールにどんな形で予約データが渡されていたか
関係しそうな既知の手口
- （考察）予約や注文の内容を外部の分析・計測サービスに送る構成は多く、送り先のサービス側が侵害されると、自社システムが無事でもデータが漏れる。
概要
- Japanticketが使っていた外部の分析ツールが不正アクセスを受け、最大約26.4万件の予約者情報が漏えいした。
- Japanticketの予約機能を組み込んだ他社サイトや自治体の予約も対象になりうる。
- データは9月15日以前に持ち出された可能性があり、検知は約6週間後の10月28日だった。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-09-15（火）以前 | データが持ち出された可能性がある期間（LifeMakers、セキュリティ対策Lab） |
| 09-16（水）以降 | 持ち出しの記録はないとされる（同） |
| 10-28（水） | 外部分析ツールへの不正アクセスを検知し、同日中に連携を遮断（同） |
| 10-30（金） | Japanticketが第一報。山梨県が富士山吉田ルート予約への影響を確認中と発表（同、山梨県） |
発表内容の整理
事実（Japanticketの第一報の整理・報道による）
| 項目 | 内容 |
|---|---|
| 侵害されたもの | 予約サービスが使っていた外部の分析ツール（名称は非公表） |
| 対象 | 最大約26.4万件（精査中）。連携サイト経由の予約を含む |
| 漏えいした情報 | 氏名（フリガナ）、メールアドレス、電話番号、国・地域、予約・注文内容、備考欄 |
| 含まれないとされる情報 | カード番号（下4桁を含む）。パスワードの漏えいは現時点で未確認 |
| 持ち出しの時期 | 9月15日以前の可能性。9月16日以降の記録はない |
| その他 | 他システムへの侵入、改ざん・削除、二次被害は未確認 |
| 報告 | 個人情報保護委員会、警察 |
| 問い合わせ | privacy@japanticket.com |
Japanticket自身の告知ページは今回直接確認できず、内容は整理記事と報道に基づく。
事実（連携先の発表・報道による）
| 連携先 | 内容 |
|---|---|
| 山梨県（富士山吉田ルート通行予約） | 2024年度の約7万件が含まれるか確認中。2025〜2026年度は対象外 |
| CS-C（Japan Food Guide運営） | 9月15日以前に予約した顧客の情報が持ち出されたとし、Japanticketにフォレンジック報告を求めている（セキュリティ対策Lab） |
| ちいかわベーカリー | 優先入場券の新規販売を停止。発行済みのQRコードは有効（同） |
考察
訪日客向けの予約に強いサービスのため、国・地域の項目を含む外国人旅行者のデータが多く含まれている可能性がある。備考欄には利用者が自由に書いた内容（アレルギーや同行者の情報など）が入りうるため、項目名だけでは漏れた情報の重さが判断しにくい（考察）。
関係しそうな既知の手口
事実（既知の知見）
- 国内では2026年10月、外部のSaaSや委託先のシステムを経由した個人情報の流出の公表が続いている。このサイトでもSTUDIOのクラウド環境の件を扱った。
考察
分析ツールには本来、匿名化した行動データだけを送れば足りることが多い。予約者の氏名や連絡先まで渡っていたのであれば、送るデータの範囲の見直しが論点になる。実際にどう連携していたかは公表されていない（考察）。
利用者・運用者がいまできること
- Japanticketや連携サイト（富士山吉田ルート予約など）で予約したことがある人は、予約内容を知っている前提の連絡や、返金・再予約を装うメールに注意する。
- 予約サービスの運営者は、外部の分析・計測ツールに送っている項目を棚卸しし、氏名や連絡先などが含まれていないか確認する。