イープラス1,463件の情報漏えい、漏れたメールアドレス・口座情報で何をされるのかまとめました

2026年9月29日、株式会社イープラスは、電子チケット「スマチケ」の払戻し情報を管理するシステムが第三者の不正アクセスを受け、お客様の個人情報を含む一部の情報が漏えいしたことが判明したと公表しました[1]。対象は、2022年6月30日から2026年9月11日の間にスマチケから払戻しを申請した一部のお客様の情報、合計1,463件です。漏れた項目は払戻しの方法で異なり、メールアドレスとカナ氏名は全員に共通、銀行振込の人は振込先口座情報、郵便振替の人は送付先の郵便番号・住所・氏名も含まれるとしています。どの件にも、払戻しの対象になった公演名・会場・開催日時が含まれています。クレジットカード情報やパスワードは漏えいの対象に含まれていない、とのことです。

カード情報とパスワードが含まれていない点は、ひとまず安心材料です。ただ、それで安心とは言い切れません。今回漏れたのは「いつ、どの公演の払戻しを、どこで受け取ったか」という、払戻しの案内そのものに使える情報だからです。

「自分のメールアドレスや口座情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、イープラスの中で認証が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 自分が実際に払戻しを受けた公演名まで正しく書いた、イープラスをかたるメールが届くおそれがあります。「返金先の確認」をうたう連絡には特に注意が要ります。
• 登録メールアドレスとパスワードでログインしていて、他のサービスと同じパスワードを使っている人は、変えておくと安心です。
• 会社側がまず見直したいのは、払戻しや返金先の手続きでの本人確認と、パスワード再設定がメールだけで完結していないかです。

なお、本記事は公表文や公式のよくある質問など、公開情報だけをもとにしています。サイトやアプリの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は9月29日から、対象者（イープラス会員ではない同行者を含む）に個別にメールで知らせているとしています[1]。

漏れた情報で、何ができてしまうか

今回の情報は、「払戻し」という一つの場面に結びついている点が特徴です。

イープラスは以前から、同社をかたる不審なメールに注意を呼びかけています。例として、スマチケの利用料の請求や「一部保証金の返還」を装うメールが挙げられています[2]。お金の出入りを口実にした偽メールは、すでに出回っている型です。今回の情報は、その型に「本物の公演名」と「本物の口座」を足せる材料だと言えます。

イープラスで認証が使われる場所

公式のよくある質問やご利用ガイドなど、公開情報で確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、全システムの総点検、セキュリティ診断の実施の間隔を短くすること、研修や社内規定・管理体制の見直しが挙げられています[1]。一方で、ログインや払戻し手続きの確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 払戻しと返金先の変更に、確かな本人確認を入れる。漏れたのはこの手続きの情報です。メールアドレスや氏名、公演名が合うことを本人の証拠にしない形が望まれます。
2. パスワード再設定とログインに、メール以外の確認を足す。会員登録ではすでに電話番号の発信で本人を確かめています。その確認を、再設定や新しい端末からのログインにも広げる考え方です。
3. 本物の連絡の見分け方を、利用者に先に伝える。払戻しの案内をどの送信元から、どんな件名で送るのかを示しておくと、偽メールとの区別がつきやすくなります。3Dセキュアの案内では、同社はすでにこの形で告知しています[8]。

認証の観点から：「知っている」と「持っている」は違う

イープラスは、新規会員登録やスマチケの受け取りで、利用者が指定の番号へ発信して電話番号を確かめる方式をすでに使っています[4][9]。一方で、ログインやパスワード再設定は、メールアドレスとパスワード、メールでの再設定が中心です[5]。今回漏れたのはメールアドレスでした。

ここで分けて考えたいのは、「知っていること」と「持っていること」は別物だという点です。メールアドレスや口座番号は、もう第三者に知られてしまったかもしれません。一方で、その電話番号の回線を実際に持っているかは、情報が漏れても変わりません。

SMSで届く認証番号も、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[14]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら