事案の概要データ
| 初報 | 2026年10月19日 |
|---|---|
| 第2報 | 2026年10月20日 |
| 不正取得の時間帯 | 2026年10月18日 0時ごろ〜7時ごろ |
| 流出 | 会員ID 317,971件 |
| 項目別 | パスワードハッシュ 311,451件／メールアドレス 311,426件／氏名 309,759件／電話番号 309,668件／カード関連情報 29,515件（合算しない） |
| カード関連情報の内容 | 番号の先頭・末尾各4桁、名義、有効期限を暗号化したもの |
| 侵入経路 | 主催者向け「Gettii-Lite」のプログラムの脆弱性を悪用され、購入者向け「GETTIIS」の会員情報が取得された |
| 対応 | 対象サーバーの切替と脆弱性対策は完了 |
| 影響未確認 | Gettii・Gettii-ECは影響未確認 |
図解：この事故の構造
何が起きたのか
リンクステーションは2026年10月19日に初報を出し、20日の第2報で会員ID 317,971件の流出を公表しました。
不正取得が行われたのは2026年10月18日の0時ごろから7時ごろ、約7時間です。項目別では、パスワードハッシュ311,451件、メールアドレス311,426件、氏名309,759件、電話番号309,668件、カード関連情報29,515件となっています（それぞれ数え方が異なるため合算できません）。
カード関連情報は、番号の先頭・末尾各4桁、名義、有効期限を暗号化したものです。対象サーバーの切替と脆弱性対策はすでに完了しています。
主催者向けの入口から購入者のデータへ
この事案の構造が特徴的です。脆弱性があったのは、イベント主催者が使う「Gettii-Lite」でした。しかし取得されたのは、チケット購入者向けの「GETTIIS」の会員情報です。
つまり、BtoB側のシステムを入口にして、BtoC側のデータに到達されています。
主催者向けのシステムは、利用者数が限られるため「使う人が少ないから狙われない」と考えられがちです。しかし、購入者データにつながっていれば、攻撃者にとってはむしろ効率のよい入口です。
2026年10月15日のACCESS台湾子会社（取引先1社専用のBIツールが起点）、10月19日の阪急阪神百貨店（予約サイト経由で顧客管理システムへ）も、同じ「周辺から中核へ」という経路でした。
自社がBtoB向けの管理画面を持っているなら、それが顧客データベースとどうつながっているかを確認してください。
約7時間で31万件
不正取得は10月18日の0時ごろから7時ごろ、深夜から早朝の約7時間で行われました。
この時間帯が選ばれたのは偶然ではありません。担当者が不在で、異常に気づかれにくい時間です。2023年6月のエーザイ（深夜に暗号化）、2023年5月の日本コンクリート工業（ゴールデンウィーク中）と同じ発想です。
そして7時間で31万件が取得されています。人がログを見て気づいてから対応するのでは、間に合いません。
有効なのは、同じアクセス元からの大量リクエストを自動で遮断する仕組み（レート制限）と、深夜の異常なアクセス量を自動通知する設定です。人がいない時間こそ、機械に見張らせる必要があります。
カード情報は「一部＋暗号化」だった
カード関連情報29,515件については、番号の先頭・末尾各4桁、名義、有効期限を暗号化したものとされています。完全な番号とセキュリティコードではありません。
この設計は被害を小さくしました。先頭・末尾4桁だけでは決済はできません。
ただし油断はできません。「下4桁が○○○○のカードをお持ちのお客様へ」という文面でフィッシングメールを送られると、本物らしさが格段に増します。カード会社を装った連絡には警戒が必要です。
なお、2026年10月16日のStudioの事案では暗号化データの復号鍵まで読み出されています。「暗号化しているから安全」と言い切れるかは、鍵がどこにあるかで決まります。
時系列で見る経過
- 2026年10月18日 0時ごろ〜7時ごろ主催者向け「Gettii-Lite」の脆弱性を悪用され、購入者向け「GETTIIS」の会員情報が取得される
- 2026年10月19日初報を公表
- 2026年10月20日第2報。会員ID 317,971件の流出を公表。対象サーバーの切替と脆弱性対策は完了
中小企業が学ぶべきポイント
- BtoB向けの管理画面が、BtoC側の顧客データへの入口になりうる。接続関係を確認する。
- 「使う人が少ないシステム」は、異常なアクセスにも気づきにくい。
- 深夜・早朝は狙われる。人がいない時間こそ、自動の遮断と通知に任せる。
- カード情報は一部＋暗号化で保持する。完全な番号を持たない設計が被害を小さくする。
- 下4桁でもフィッシングの材料になる。カード会社を装う連絡に警戒する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。