対象：チケット購入サービス「GETTIIS」（コンサート・舞台・スポーツ・イベントなど）のアカウントを持っている人。本記事は株式会社リンクステーションの公式お知らせ（gettiis.jp）にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月31日時点まだ分かっていないこと
- 影響を受けた人数（件数は項目ごと）
- 対象の会員の期間・範囲（退会済みの会員を含むか）
- 原因の詳細
- 調査結果と補償の有無
同社は10月19日に公表し、10月20日に第二報を出しました。当サイトが取り上げたのは10月31日で、同社の発表より遅れています。10月31日時点で、同社のお知らせ一覧に第二報より新しい本件の続報は見つかりませんでした（その後のお知らせはメンテナンスと退会の案内です）。同社は引き続き原因と影響範囲を調査し、追加で判明した事項は自社サイトで知らせるとしています。
会員が今日やること
GETTIISのパスワードを変える
同社は、パスワードはハッシュ化して保存しているとしつつ、安全のため全会員に変更を求めています。同社のお知らせの手順は、ログインして画面右端のボタンから会員情報の編集ページを開き、パスワード編集で新しいパスワードを入力する、というものです。10月20日20:00の更新で、パスワードは半角の英数字8〜64文字（記号は任意）にできるようになり、すでに変更した人はそのままでよいとされています。長いほうが安全です。パスワードマネージャーを使うと楽に作れます。
同じパスワードを使った他のサービスも変える
漏れたメールアドレスと、別サービスで使っているパスワードの組み合わせは、アカウントの乗っ取りによく使われます。GETTIISと同じものを使い回しているサービスは、別のパスワードに変え、2段階認証を有効にします。選び方は 多要素認証の選び方、漏れていないかの確かめ方は パスワードが漏れたか確認する方法 にあります。
氏名・電話番号・メールを使った連絡は疑う
漏れた項目には氏名・電話番号・メールアドレス（各約31万件）が含まれます。これらを使った連絡は本物らしく見えますが、このデータを持つ人が送れる連絡でもあります。「GETTIIS」「チケット」「カード」に触れる連絡は、本文のリンクを使わず、ブックマークから公式サイトを開いてお知らせ欄を確認してください。同社は、メール・電話・SMSでパスワード、カード番号、暗証番号をたずねることはないとしています。背景は フィッシングとは に。
カードの利用明細を見る
カードを登録していた場合、同社によれば、漏れたのは番号の先頭4桁・末尾4桁、名義、有効期限を暗号化した情報で、それだけではカード決済はできません。それでも、身に覚えのない請求がないか明細を確認します。あった場合や、連絡のリンク先でカード情報を入力してしまった場合は、カード会社に連絡して利用停止と再発行を相談してください。
自分の登録内容を確認し、アカウントを残すか決める
同社の案内では、ログインして「MENU」から登録情報編集を開くと、プロフィール（会員ID、氏名、電話番号、メールアドレス、郵便番号、性別、生年月日）とクレジットカード登録の有無を確認できます。そこに出る登録項目が、漏えいの対象になった情報に当たります。ただし、不正アクセスのあとに自分で変更した場合は、漏えい当時と異なることがあります。今後使わないなら、10月24日付のお知らせに退会の手順があります。先に購入履歴を確認してから退会します。そのページによれば、退会が完了すると登録していた会員情報は削除されます。
何が起きたのか（リンクステーションの発表より）
同社は10月19日に第一報、10月20日に第二報を出しました。以下の日付と数字は第二報の記載にもとづきます。
2026年10月18日
同社が自社システムへの不審なアクセスを確認し、調査を開始。同日の午前0時頃から7時頃にかけて、第三者が「Gettii-Lite」のプログラムの脆弱性を悪用し、GETTIISの会員情報を取得していたことが判明。10月19日
第一報を公表。漏えいした（おそれのある）項目として、会員ID・氏名・電話番号・メールアドレス・郵便番号・性別・生年月日・ハッシュ化されたパスワード・カード情報の一部を挙げたが、件数は示さず、範囲は調査中とした。第一報は「漏えいした（おそれのある）」「可能性」という書き方で、翌10月20日の第二報で漏えいを確認したとした。同日、パスワードの変更方法のページを掲載。10月20日
第二報を公表。項目ごとの件数と、自分の登録項目の確認方法を示した。対象サーバーの切替と脆弱性への対策を完了し、対象の会員に個別にメールで連絡したとした。20:00にはパスワードの条件が8〜64文字に更新された。10月24日
GETTIISの退会方法のお知らせを掲載。
- 対象のサービス
- 会員向けのチケット購入サービス「GETTIIS」。不正アクセスは主催者向けの公演登録サービス「Gettii-Lite」のサーバーに対するもの。「Gettii」「Gettii-EC」は別の環境で運用しており、本件の影響は確認されていない（同社）
- 漏えいした項目と件数（項目ごと）
- 会員ID 317,971件、ハッシュ化されたパスワード 311,451件、メールアドレス 311,426件、氏名 309,759件、電話番号 309,668件、クレジットカード関連情報 29,515件、性別 5,900件、生年月日 5,192件、郵便番号 489件。同社は、件数は項目ごとのもので合計人数を示すものではないとしている
- カード関連情報
- 番号の先頭4桁・末尾4桁、名義、有効期限を暗号化した情報。完全なカード番号とセキュリティコードは保存しておらず、漏えいした情報のみではカード決済はできない（同社）
- パスワード
- ハッシュ化した状態で保存されており、平文のパスワードが漏えいしたものではない（同社）。ハッシュ化の方式は公表されていない
- 原因
- 第三者による「Gettii-Lite」のプログラムの脆弱性の悪用（同社）。詳細は公表されていない
- 対応
- 対象サーバーの切替、脆弱性への対策、対象の会員への個別メール、関係機関への報告、警察への相談の継続（同社）
- その他の漏えい
- 10月20日の第二報の時点で、上記以外の情報の漏えいは確認されていない（同社）
- 問い合わせ
- 同社のPMS個人情報相談窓口（pms@linkst.jp、24時間・順次対応。お知らせに記載）
Gettii-Lite（主催者向け）
第三者が脆弱性を悪用（10月18日 0時頃〜7時頃）
GETTIIS（購入者向け）
会員情報が取得された
Gettii／Gettii-EC
別の環境で運用。影響は確認されていない（同社）
矢印や内部の経路は発表に書かれていないため、図には描いていません。
分かっていること・分かっていないこと
2026年10月31日時点の状態です（10月20日の第二報、および10月20日・24日のお知らせまで反映）。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセス | 第三者が「Gettii-Lite」のプログラムの脆弱性を悪用。10月18日の午前0時頃〜7時頃 | 漏えいを確認（同社） |
| GETTIISの会員情報の漏えい | 漏えいを確認 | 漏えいを確認（同社） |
| 会員ID | 317,971件 | 漏えいを確認（同社） |
| 氏名・電話番号・メールアドレス | 309,759件／309,668件／311,426件 | 漏えいを確認（同社） |
| 性別・生年月日・郵便番号 | 5,900件／5,192件／489件 | 漏えいを確認（同社） |
| ハッシュ化パスワード | 311,451件。平文は漏れていない | 漏えいを確認（同社） |
| カード関連情報 | 29,515件。先頭4桁・末尾4桁・名義・有効期限を暗号化 | 漏えいを確認（同社） |
| 完全なカード番号・セキュリティコード | 同社は保存していない | 含まれない（同社） |
| 上記以外の情報 | 現時点で確認されていない | 記載なし |
| 影響を受けた人数 | 件数は項目ごとで、合計人数ではない | 人数は公表されていない |
| 対象の会員の期間・退会済みの会員・非会員 | 発表に記載なし | 記載なし |
| 「Gettii」「Gettii-EC」 | 別環境で運用。影響は確認されていない | 確認されていない（同社） |
| 原因の詳細 | 「Gettii-Lite」のプログラムの脆弱性。詳細は非公表 | 一部公表 |
| 関係する主催者・施設 | お知らせに記載なし | 記載なし |
| 漏れた情報の悪用 | 同社は本件に便乗した連絡への注意を呼びかけている。悪用の事例の公表はない | 記載なし |
利用施設・主催者について：GETTIISは多くの主催者・施設がチケット販売に使っていますが、同社のお知らせには名前が出ていません。主催者や施設の公式お知らせを探しましたが、開いて確認できたものは見つからなかったので、ここには挙げていません。主催者を通じて購入した人は、その主催者の公式サイトも確認してください。
氏名・電話番号・メールがそろうと何に使われうるか
同社は氏名・電話番号・メールアドレスが各約31万件漏れたとしています。一般に、この組み合わせは「取引のある会社からの連絡」に見せかけるのに使いやすい材料です。
- 「チケットのご購入」「アカウント」に手続きが必要だと名乗る連絡を、本人の名前で、本人の電話番号やメールに送る
- チケットサービスを名乗り、返金や「本人確認」の名目でカードの再入力を求める
- メールアドレスと、使い回されたパスワードで、他のサービスへのログインを試みる
本件でこれらが起きたという意味ではなく、同社は悪用の事例を公表していません。守る線は上の手順のとおりで、ブックマークから確認する、メッセージでパスワードやカード番号を聞く連絡は同社のものではない、です。
チケット・会員サービスを運営する人が見直すこと
ここは一般論で、原因について何も言うものではありません。同社によれば、不正アクセスは主催者向けサービスのサーバーに対するもので、購入者向けサービスの会員情報が取得されたとのことで、別環境の他の2サービスは影響を受けなかったとしています。販売する側と買う側の両方の画面を持つサービスを運営するなら、次の点を見ておきます。
- 購入者の会員情報に届くシステムを一覧にする（販売者向けの管理ツールを含む）。誰がどこから届くかも書き出す
- 購入者の情報を持つ場所をできるだけ少なくする。カード情報は、持つ必要があるときだけ、一部の桁と暗号化で持つ
- 会員が最初に聞く「自分は対象か、何を持たれていたか」に答える方法を決めておく。今回、同社は会員が自分の登録項目を確認できる方法を示している
同じ項目の組み合わせの事案は skyticket（予約情報・パスワード）、カードの例は PhotoGoodsのカード情報窃取 に。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない項目や件数は推測していません。
- 株式会社リンクステーション「不正アクセスによるGETTIIS会員情報の漏えいに関するお詫びとお知らせ（第二報）」（2026年10月20日） — gettiis.jp
- 同、第一報（2026年10月19日） — gettiis.jp
- 同「パスワードの変更方法について」（10月19日、10月20日追記） — gettiis.jp
- 同「GETTIIS 退会方法」（10月24日） — gettiis.jp
- GETTIISのお知らせ一覧（10月31日に確認） — gettiis.jp
更新履歴
2026-10-31：初版。同社の第一報（10月19日）、第二報（10月20日）、パスワード変更のお知らせ（10月19日、10月20日追記）、退会方法のお知らせ（10月24日）にもとづく。10月31日時点で第二報より新しい続報は見つかっていない。本記事は発表から日が空いてからの公開で、同社の発表より遅れている。
次に読む
- 予約情報とパスワードが漏れた事案：skyticket（アドベンチャー）への不正アクセス
- 決済画面でカード情報が盗まれた事案：PhotoGoodsのカード情報窃取
- アカウントを守る：多要素認証の選び方 ／ パスワードマネージャーの選び方
- パスワードの保存：パスワードのハッシュ化
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）