要点
発表された事実
- 株式会社teketは2026年11月8日、電子チケット販売・管理サービス「teket（テケト）」への不正アクセスによる情報流出を第一報として公表した（teket 第一報、セキュリティ対策Labの整理）。
- 11月5日にサーバーへの不正アクセスの可能性を検知し、同日20時30分に全サービスを停止した。11月8日時点でも停止は続いている（ホッケージャパンリーグによるteket発表の要約、セキュリティ対策Lab）。
- 11月6日に会員情報などを管理するシステムへの不正アクセスと、保管情報の一部の流出を確認した（セキュリティ対策Lab）。
- 流出を確認した情報は、すべての会員の氏名・メールアドレス。該当情報を登録・購入した会員については、生年月日・年齢・性別、住所・電話番号、チケットの発券用コード・主催者発行のシリアルコードも含む。件数は精査中（ホッケージャパンリーグ、セキュリティ対策Lab）。
- 確認済みの流出項目にパスワードとクレジットカード番号は挙がっていない。teketのプライバシーポリシーは、決済に第三者のサービスを使い、カード情報を自社システムで保存・処理しないと説明している（セキュリティ対策Lab）。
- 11月6日に個人情報保護委員会へ報告した。発表時点で流出情報の悪用などの二次被害は確認されていない（ホッケージャパンリーグ）。
わかったこと
- 【2026-11-11追記】teketを使う主催者側の公表が続いている。京都府（Music Fusion in Kyoto 音楽祭実行委員会事務局）は11月10日、teketから運営委託先に11月8日16時に連絡があり、teket経由で同音楽祭のチケットを買った約160名が対象（teketが引き続き調査中）と公表した。流出が確認された項目は氏名・生年月日・年齢・性別・メールアドレス・住所・電話番号・チケット情報等で、流出の可能性がある人にはteketから連絡済みとしている（京都府）。
わかっていないこと
- 侵入経路、攻撃に使われた弱点、攻撃が始まった時期。
- 流出した人数・件数の確定値。
- 発券用コード・シリアルコードの無効化や再発行をするか、不正入場などに使われたか。
- サービスの再開時期。
- パスワードなど、確認済み項目以外の情報が流出していないか。
関係しそうな既知の手口
- （考察）チケットの発券用コードは「持っていれば入場できる」情報になりうる。氏名・メールアドレス・購入公演の組み合わせは、公演名を出した「再発行」「返金」をかたるフィッシングの材料になりやすい。
概要
- teketはクラシック・音楽ライブ・舞台・スポーツ・自治体イベントなどで使われる電子チケットサービス。停止中は購入済みのQRチケットの表示や、主催者のQR読み取りによる入場受付も使えない（セキュリティ対策Lab）。
- 停止期間中の来場者には購入完了メールの提示（手元にない場合は受付で購入者名）を案内し、主催者には入場確認用の購入者リストを個別に提供する方針（同）。
- 利用する主催者側でも、ホッケージャパンリーグがteketの公表を受けて自ら告知を出している（ホッケージャパンリーグ）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。なお、teketの公表ページは本文を機械的に取得できなかったため、主催者の要約と報道による整理を併記しています。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-05 | 不正アクセスの可能性を検知。20時30分に全サービスを停止 | ホッケージャパンリーグ、セキュリティ対策Lab |
| 2026-11-06 | 会員情報などを管理するシステムへの不正アクセスと情報流出を確認。個人情報保護委員会に報告 | 同 |
| 2026-11-08 | 第一報を公表。サービス再開時期は未定 | teket |
| 2026-11-10 | 主催者側の公表が続く。京都府は自らの音楽祭のチケット購入者約160名が対象と公表 | 京都府 |
発表内容の整理
事実
| 項目 | 内容 |
|---|---|
| 対象 | 電子チケット販売・管理サービス「teket」の会員情報など |
| 全会員 | 氏名、メールアドレス |
| 登録・購入状況による | 生年月日・年齢・性別、住所・電話番号、チケット発券用コード、主催者発行のシリアルコード |
| 件数 | 精査中 |
| 確認済み項目に含まれないもの | パスワード、クレジットカード番号 |
| サービス | 11月5日20時30分から全面停止。再開は未定 |
| 二次被害 | 発表時点で未確認 |
出典：teket「【重要】不正アクセスによる情報流出に関するお詫びとお知らせ（第一報）」（2026-11-08）、ホッケージャパンリーグ（2026-11-08）、セキュリティ対策Lab（2026-11-08）
考察
- 「全会員の氏名・メールアドレス」が確定として書かれている一方、件数は精査中である。会員情報の管理システムそのものに入られた可能性を示しており、範囲が今後広がることも縮むこともありうる。
- 決済を外部サービスに任せている設計のため、カード番号が対象外という説明は筋が通る。ただし調査は途中であり、パスワードの扱いは続報で確かめたい。
関係しそうな既知の手口
事実
- teketは侵入経路を公表していない（セキュリティ対策Lab）。
考察
- 公演ごとの購入履歴と連絡先がそろうと、実在の公演名を使った「入場方法の変更」「返金手続き」などの偽連絡が作りやすい。今回の停止で正規の案内も通常と違う経路（購入完了メールの提示など）になっているため、利用者は偽の案内と見分けにくい状況にある。
- 発券用コードがそのまま入場に使える設計なら、再開時にコードを作り直すかどうかが二次被害を左右する。
利用者・運用者がいまできること
- 購入者：入場方法は主催者の公式サイト・公式SNSで確かめ、メールやSMSのリンクから「再発行」「返金」「本人確認」の手続きをしない。teketがパスワードやカード情報をメール・SMS・電話で尋ねることはないとしている。
- 購入者：購入完了メールやチケットのコードをSNSなどに載せない。teketと同じパスワードを他サービスで使っている場合は、念のため変更を検討する（パスワードの流出は発表されていない）。
- 主催者：購入者リストの受け渡し方法と閲覧権限、使用後の削除を決め、受付でのなりすまし対策（購入完了メールと氏名の照合）を準備する。