チケット販売サイト「イープラス」を装い、抽選に当選したと知らせて支払いを促すフィッシングメッセージが、2026年10月20日ごろからX上で注目を集めている。ローチケ（ローソンチケット）やチケットぴあをかたる手口も紹介されており、フィッシング対策協議会が注意を呼びかけている。
事案の詳細
確認された偽メッセージには、「【イープラス】チケット抽選結果のご案内［ご当選］」などと記載され、チケット抽選に当選したと受信者に信じ込ませる内容が使われている。メッセージ内のリンクから手続きや支払いを促し、偽サイトへ誘導するのが特徴だ。
偽サイトでは、ログイン情報や個人情報、クレジットカード情報などの入力を求められる可能性がある。入力した情報は、アカウントの不正利用やカードの不正決済に悪用されるおそれがある。ローチケやチケットぴあなど、実在するチケット販売サービスの名称やロゴをかたる場合もあるため、メールやSMSに表示された企業名だけで真偽を判断することはできない。
攻撃者は、当選という受信者の期待を利用したうえで、支払い期限や手続き期限を示して急かし、リンクを開かせようとする。申し込みをした覚えがある場合でも、メールやSMSのリンクが正規のものだと決めつけないことが重要だ。フィッシング対策協議会の集計では、イープラスをかたるフィッシングの報告は9月19日からの1週間の85件から、10月10日からの1週間には552件と約6.5倍に増えた。チケットぴあをかたるものは毎週110〜160件台、ローソンチケットをかたるものは10月10日からの1週間で65件だった。イープラスを装う例では、同日午後9時までの支払いを求め、支払いリンクの行き先は同社の公式ドメインではなく、クラウドサービス上のURLだったという。実際の被害件数は明らかになっていない。
影響と背景
この手口では、チケット販売サービスを利用する個人からアカウント情報や決済情報が盗まれる可能性がある。業務用メールアドレスに届いた場合は、従業員が業務端末からリンクを開き、企業の認証情報を入力してしまう危険もある。
フィッシング対策協議会は、正規メールの送信元に企業ロゴを表示する「BIMI」に対応したメールサービスを使うと、本物のメールを見た目で判断しやすくなる場合があると説明している。ただし、ロゴの表示だけで安全性を断定せず、公式の経路から確認する必要がある。
対策・今後の展望
メールやSMSに記載されたリンクは開かず、手続きが必要な場合は、公式のスマートフォンアプリやブックマークから公式サイトにアクセスして確認する。検索結果からアクセスする場合も、広告や類似ドメインに注意し、公式に案内されたドメインかを確認する。
- リンクを押す前に立ち止まる：「当選」「支払い期限」「手続き期限」など、急がせる文言があっても、メールやSMS内のリンクを開かない。
- 公式の経路で確認する：公式アプリやブックマークからサービスにアクセスし、抽選結果や支払い状況を確認する。
- 入力を求められても中断する：ログイン情報、個人情報、クレジットカード情報の入力画面が表示された場合は、正規サイトか確認できるまで操作しない。
- 入力してしまった場合は直ちに対応する：パスワードを変更し、クレジットカードの利用停止と再発行をカード会社に依頼する。身に覚えのない利用や登録情報の変更がないかも確認する。
- 社内で報告手順を決める：不審なメールやSMSを受け取った場合の報告窓口を設け、業務端末からリンクを開かないルールを周知する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、業務端末で私用に見える通知メールを開き、本文リンクから外部サイトへ遷移する通信がアラートのきっかけになる例がある。診断でも、メールの注意喚起が形骸化し、私用メールを業務端末で扱う運用が未整理のまま残っているケースが目立つ。
【平易な解説】有名店の名前を印刷した偽の招待状をポストに入れ、案内先で個人情報を書かせるようなものだ。メールに本物の企業名やロゴが表示されていても、それだけでは安全とはいえない。リンク先で入力した情報が攻撃者に送られる危険がある。
【中小企業が今週中にできること】社内の共有ルールとして、当選通知や支払い案内などのメール・SMSから操作しないことを周知し、公式アプリやブックマークから確認する手順を決める。総務や情シスは、不審なメッセージを受け取った際の報告窓口を全社員に案内する。業務端末での私用メール利用の範囲も確認し、必要に応じて制限方針を検討する。
参照: 「チケット当選」装う詐欺メールが急増中──イープラスやローチケ、ぴあかたる手口 フィッシングの専門家に対策を聞いた