イープラスFESアプリ情報漏えい3571件と主催者・出演者の非関与を分ける

資料で確認できること

10月11日に侵入、13日に3571件の漏えいを確認

公式発表では、2026年10月11日に『FESアプリ』の管理システムへの不正アクセスが発生し、10月13日に3,571件の個人情報漏えいが判明しました。10月30日の公表までに対象者への個別メールを順次送付し、個人情報保護委員会へ報告したとしています。

対象は2021年12月17日から19日に開催された『ポルノ超特急2021』の前方指定観覧エリア申込情報です。催事の開催日、不正アクセスの日、漏えい判明日、公表日はそれぞれ異なります。

• 資料 01株式会社イープラス：弊社システムに対する不正アクセスの発生および個人情報漏えいに関するお詫びとお知らせ（10月30日）

当事者の説明

流出は氏名・電話番号・メールアドレスの3571件

外部へダウンロードされたと確認されたのは、前方指定観覧エリアの申込み時に登録された氏名、電話番号、メールアドレスの計3,571件です。会社は『可能性』ではなく、個人情報が外部へ流出したことを確認したと説明しています。

対象者には専用のフリーダイヤルを案内し、一般の問い合わせ先も公式ページに掲載しています。不審な連絡を受けた場合は、相手が示す連絡先ではなく公式窓口から照合します。

• 資料 01株式会社イープラス：弊社システムに対する不正アクセスの発生および個人情報漏えいに関するお詫びとお知らせ（10月30日）

当事者の説明

カード情報、ログイン用パスワード、会員情報は対象外

会社は、当該管理システムがクレジットカード情報や、イープラスのチケット販売システムのログイン用パスワードを含む会員情報を保持しておらず、今回の漏えい対象に含まれないと説明しています。

当該管理システム以外への不正アクセスと、システム内のデータ改ざんも確認していないとしています。これは今回確認した範囲の説明であり、個別の不審な連絡まで安全だと保証するものではありません。

• 資料 01株式会社イープラス：弊社システムに対する不正アクセスの発生および個人情報漏えいに関するお詫びとお知らせ（10月30日）

当事者の説明

管理画面への総当たり攻撃と、全件削除・アクセス制限

原因について会社は、第三者が管理画面へ総当たり攻撃を行って侵入したと説明し、不正侵入を防ぐ対策が不十分だったことを最大の要因としています。主催者と出演アーティストに一切の非はないとも明示しました。

会社は管理システム内の個人情報を全件削除し、外部からのアクセスを制限しました。アクセス・閲覧権限の見直し、多要素認証、早期検知、複数の脆弱性検査を進めるとしています。

• 資料 01株式会社イープラス：弊社システムに対する不正アクセスの発生および個人情報漏えいに関するお詫びとお知らせ（10月30日）

未確認の点

保管期間の根拠、攻撃回数、二次利用は未確認

2026年10月31日の確認時点で、2021年の申込情報を保管していた具体的な目的と期間設定、総当たり攻撃の回数と期間、認証情報が破られた詳しい条件、流出情報の保管・公開・悪用状況、個別通知の完了時期は公開資料だけでは確定できません。

9月に公表されたスマチケ払戻し情報の漏えいとは、対象システム、対象者、項目が異なります。会社全体の管理改善を問う必要はありますが、二つの件数を足して実人数とすることはできません。

• 資料 01株式会社イープラス：弊社システムに対する不正アクセスの発生および個人情報漏えいに関するお詫びとお知らせ（10月30日）

確認の範囲

このコラムの確認範囲

本稿は2026年10月31日に取得したイープラスの10月30日付公式発表を確認しました。JBJは会社、主催者、出演者、申込者、関係当局、攻撃者へ直接取材しておらず、管理画面、ログ、流出データ、個別通知を独立に確認していません。掲載画像は対象範囲を整理する説明用イメージで、実際の会社・イベント・人物・会場・画面・申込情報・被害記録ではありません。

• 資料 01株式会社イープラス：弊社システムに対する不正アクセスの発生および個人情報漏えいに関するお詫びとお知らせ（10月30日）

JBJの見解

古い申込情報の保管と管理画面の防御不足を重く扱う

2021年の催事に関する申込情報が2026年まで管理システムに保管され、総当たり攻撃で管理画面へ侵入されて外部へダウンロードされた重大な事案です。会社には、保管期間、削除基準、認証と監視、個別通知、再発防止の実効性を継続して説明する責任があります。

同時に、公式発表は対象システムと項目を限定し、主催者と出演アーティストに非がないと明示しています。管理上の責任を問うことと、根拠なくイベント関係者全体を攻撃することは分けます。

JBJの見解

当時の申込み、通知、不審な連絡を分けて残す

対象となり得る人は、2021年の前方指定観覧エリアへの申込み、会社から届いた個別通知、公式発表のURLと確認日時、不審なメール・SMS・電話を分けて保存してください。認証コードや決済情報を返信せず、公式サイトを自分で開いて確認します。

本件を理由に、主催者、出演者、ほかの来場者の非公開情報を探したり拡散したりしないでください。実際の金銭・アカウント被害が疑われる場合は、イープラス、金融機関、警察などの公式窓口へ連絡します。

• 資料 01株式会社イープラス：弊社システムに対する不正アクセスの発生および個人情報漏えいに関するお詫びとお知らせ（10月30日）