チケット販売サービス「GETTIIS」の会員情報の流出（「Gettii-Lite」のサーバーへの不正アクセス）

事案の概要と確認状況

• 10月18日に不審なアクセスを確認。第三者が「Gettii-Lite」のプログラムの脆弱性を悪用した不正アクセス
• 第三者が10月18日午前0時頃〜7時頃にGETTIISの会員情報を不正に取得していたと判明。第二報で漏えいした情報と項目ごとの件数を公表
• 原因と影響範囲の調査を続けている。追加で判明した事項はお知らせページで知らせるとしている

発覚から公表までの経緯

発生時期

2026年10月18日 〜 2026年10月18日／2026年10月18日午前0時頃から午前7時頃にかけて、第三者が「Gettii-Lite」のプログラムの脆弱性を悪用して会員情報を不正に取得していたと公表

発覚・検知

2026年10月18日

1. 2026.10.20

   第二報。10月18日午前0時頃から午前7時頃にかけて、第三者が「Gettii-Lite」の脆弱性を悪用してGETTIISの会員情報を不正に取得していたと公表。漏えいした件数を項目ごとに公表した（会員ID 317,971件、クレジットカード関連情報 29,515件など。項目ごとの件数で、合計人数ではない）。漏えいの対象となった会員には個別にメールで連絡した

   この公表資料を見る（新しいタブで開く）
2. 2026.10.20

   熊本日日新聞社：GETTIISを通じて熊日主催の催事（熊日マンガ文化賞受賞記念イベント、熊日学生音楽コンクール、大相撲熊本場所など9事業）に参加した人について、最大1,125人分の個人情報が流出した可能性があると公表

   この公表資料を見る（新しいタブで開く）
3. 2026.10.19

   第一報。「Gettii-Lite」のサーバーへの不正アクセスで「GETTIIS」の会員情報が外部に流出したことを確認したと公表。対象のサーバーの切り替えと脆弱性への対策は完了。対象の範囲・件数は調査中で、対象のお客様には順次個別に連絡すると案内

   この公表資料を見る（新しいタブで開く）

規模と対象範囲

情報の種類と対象外の範囲

公表された情報の種類

• 会員ID（317,971件）
• 氏名（309,759件）
• 電話番号（309,668件）
• メールアドレス（311,426件）
• 郵便番号（489件）
• 性別（5,900件）
• 生年月日（5,192件）
• ハッシュ化されたパスワード（311,451件）
• クレジットカード関連情報（29,515件）：カード番号の一部（先頭4桁・末尾4桁）、名義、有効期限を暗号化した情報
• 件数は項目ごとの数で、合計人数ではない。どの項目が漏えいしたかは、会員の登録内容によって異なる

対象外・未確認と公表された範囲

• 完全なクレジットカード番号とセキュリティコードは保存しておらず、漏えいした情報だけではクレジットカード決済はできないと説明
• 「Gettii」と「Gettii-EC」は「Gettii-Lite」とは別のシステム環境で運用しており、影響は確認されていないと公表
• パスワードはハッシュ化して保存しており、平文のパスワードが漏えいしたものではないと説明
• 列挙した項目以外の情報の漏えいは、第二報の時点で確認されていないと公表