2025年中にイベントや公演のチケットを購入した利用者の個人情報および取引履歴が、サイバーセキュリティ上のインシデントによって外部へ露出したことが明らかになった。興行チケット販売大手のTicketmaster Brasilは10月14日の水曜日から、影響を受けた対象顧客に対して電子メールでの通知を順次開始している。
同社の説明によると、今回の情報漏洩はメインの発券システムとは切り離されて稼働しているサードパーティ製のデータ解析ツールにおける一時的な脆弱性が原因で発生した。報道機関向けの公式声明の中で同社は「Ticketmaster Brasilは、第三者が提供するデータ解析ツールに関連したセキュリティ事案により影響を受けたファンへ最近通知を行ったことを確認する。事案を封じ込めるための即時措置を講じるとともに、外部のサイバーセキュリティ専門家の支援を受けて調査を開始した」と発表している。
外部ツール経由で漏洩した個人情報の内訳と主要システムの安全性
流出した情報の範囲は、各利用者がチケット購入手続きの際に入力した内容によって異なる。同社は自社の基幹インフラ自体は直接的な不正侵入を受けていないと強調しており、公式声明で「チケット販売プラットフォームおよびファンのアカウントシステムは影響を受けておらず、本事案にはクレジットカードの全桁番号、銀行口座番号、ならびにTicketmasterアカウントへのログイン認証情報は含まれていない」と明言した。
2025年の購入取引において露出した可能性がある登録情報および決済関連データは以下の項目にわたる。
- 氏名、性別、および年齢層または生年月日
- ブラジルの納税者番号である個人納税者登録番号（CPF）または登録時に提出されたその他の身分証明書番号
- 連絡先の電話番号および電子メールアドレス
- 地区、市区町村、州を含む居住地の住所
- 取引で使用された決済手段およびクレジットカードの下4桁の番号
国家データ保護庁への報告手続きと内部調査完了からのタイムラグ
2026年10月14日以降に消費者へ送信された通知書面によると、外部のサイバーセキュリティ専門家を交えて実施された社内調査は2026年9月の時点で完了していた。続く10月15日の木曜日、同社はブラジル国内で個人情報保護法の遵守状況を監督する連邦機関である国家データ保護庁（ANPD）へ本件に関する届出を行ったことを認めた。国内におけるセキュリティ侵害の報告ルールを定めた決議第15/2024号（Resolução CD/ANPD nº 15/2024）では、重大なリスクや損害をもたらす恐れのある事案を認識してから原則3営業日以内に同庁および対象者へ通知することが義務付けられており、初期段階の報告後に追加情報を提出することも認められている。
9月の内部調査終了から10月の顧客通知までに生じた期間や、監査手続き開始の有無について照会を受けたANPDの広報部門は、10月19日の月曜日に担当部署へ案件を引き継いだことを明らかにした。同庁は声明を通じて「照会を受理し、技術部門へ回付した。回答が得られ次第、改めて連絡する」と説明している。
ブラジル国内で今回のデータ流出により影響を受けた顧客の総数については、TicketmasterおよびANPDの双方から公表されておらず、依然として不明のままである。また、障害が発生した外部ツールの提供企業名や、インシデントの正確な発生日、脆弱性が検知された時点、さらにブラジル当局へ通知が行われた具体的な日付も明らかにされていない。この技術的な欠陥がブラジル国外の事業拠点に波及したか否かや、国内の購入者に対して無料の信用情報モニタリングサービスが提供されるかどうかについても説明はなされていない。
2025年の購入者に向けた詐欺被害への警戒喚起と専用窓口の設置
チケットの購入履歴と個人の識別情報が結びついた状態で流出すると、実在するイベント名や架空の払い戻し手続きを口実にした標的型のフィッシング詐欺に悪用される危険性が高まる。Ticketmaster Brasilは声明の中で「当社は影響を受けたファンに対し、個人情報を保護するためのガイドラインを提供しており、データセキュリティ対策の強化を継続している」と述べた。
2025年中に同プラットフォームでチケットを購入したすべての利用者が被害に遭ったわけではないものの、該当する消費者には登録済みの電子メールの受信箱を確認することが推奨されている。公式チャネルからパスワードや金融情報の入力を求めることは一切ないため、不審な連絡には警戒するよう同社は注意を呼びかけた。本件に関する個別の問い合わせに対応するため、同社はデータ流出事案専用の電子メール窓口および国内のプライバシー関連総合窓口を開設している。
サンパウロFCとの新規提携への影響と親会社Live Nationの過去の事案
グローバル社長のSaumil Mehtaが率いる同プラットフォームは、ブラジル市場で新たな事業展開を進めている最中に今回の流出確認を迎えた。Ticketmasterは2026年10月2日、サッカークラブのSão Paulo Futebol Clube（サンパウロFC）と契約を正式に締結し、2027年1月1日から同クラブのチケット販売およびファンクラブ会員プログラムの運営管理を引き継ぐことが決まっているが、今回のセキュリティ障害は2025年の記録を対象としているため、この新規提携に関連するデータ露出の兆候はない。また、これに先立つ2026年9月には、ラテンアメリカにおける音楽フェスティバル「The Town 2025」の購入者データを販売すると称する投稿が闇フォーラム上で確認されたものの、セキュリティアナリストらは出品されたデータベースの保有元を特定できず、10月に通知された今回の事案との直接的な関連性も裏付けられていない。
国際的な事業環境においては、Ticketmasterの親会社であるLive Nation Entertainmentが、ブラジルの事案とは関連性が確認されていない別のサイバーセキュリティ問題に直面してきた。2026年10月1日、親会社は米国のバーモント州司法長官に対し、米国の税務・社会保障識別番号である社会保障番号（SSN）、公的身分証明書、および医療記録が漏洩した別個のインシデントを報告しており、これを受けて2026年10月6日および7日にはカリフォルニア州地方裁判所においてAmanda Fraga、Toby Gosman、Isiah Ramosらによる少なくとも3件の集団訴訟が提起された。さらに遡る2024年5月20日には、外部企業のSnowflakeが運営するクラウドデータベース上で不正なアクティビティが検知され、ハッカー集団のShinyHuntersがTicketmasterの顧客約5億6000万人分の記録を取得したと主張する事件も起きている。この2024年のサイバー攻撃に関しては、カナダ国籍の26歳のハッカーであるConnor Riley Mouckaが2026年8月5日に連邦裁判所で罪を認めており、量刑言い渡しの公判は2026年10月27日に予定されている。
