電池チケットのPeatix、氏名やパスワードなど最大677万件の情報流出

日系企業の米Peatix Inc.は、同社が手掛けるイベント管理、電子チケット販売プラットフォーム「Peatix」（ピーティックス）において、第三者による不正アクセスを受け、ユーザーの個人情報が不正に引き出されたと発表した。

同社は11月9日、保有する個人情報が引き出されている可能性があることを認識し、外部の調査会社による調査を行った結果、10月16日から10月17日にかけての不正アクセスにより、最大677万件の個人情報が流出したことを11月12日に確認したという。

その後、AWSアクセスキー、AWS管理パスワードを変更するなどの対策を行い、11月15日にアカウントのセキュリティの万全を期すため、全てのパスワードの再設定が必須となる措置を行い、今回の発表となった。

流出した情報の内容は「アカウント表示名」「氏名」「アカウント登録メールアドレス」「言語設定」「アカウントが作成された国」「タイムゾーン」「暗号化されたパスワード」で、『クレジットカード情報および金融機関口座情報などの決済関連情報、イベント参加履歴、参加者向けのアンケートフォーム機能で取得したデータ、住所、電話番号など』は流出していないという。

対応としては、技術対策やセキュリティ強化、運用対策、組織対策といった再発防止対策により、現在はPeatixを安心して使える状態になっているとしている。

なお、Peatixで利用していたパスワードと同一のものを他社サービスでも使っている場合は、そのパスワードを使って他社サービスにアクセスされる可能性があるため、パスワードの変更が推奨される。

不正アクセスによる情報流出は先日にカプコンでも発覚したばかり。Web上で完結するサービスなどで様々な事柄が便利さを増す一方だが、企業がスキを突かれて情報が流出すればユーザー側も不安を抱え、パスワード変更などの面倒を強いられる。

不正アクセスを行う攻撃者の手口も巧妙、高度化しており、こういった問題は今後も発生を続けると見られ、ユーザー側としては個々のサービスでパスワードを変える、使っていないサービスは退会するなどといった対応を行うことが求められる。

発表資料
URL:https://announcement.peatix.com/20201117_ja.pdf
2020/11/18