しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

チケット流通センターの脆弱性とは？APIキー流出とフィッシングへの対処（2026年10月6日）

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りフィッシングパスワード流出不正ログイン二段階認証Androidアプリチケット流通センターウェイブダッシュ脆弱性JVN

この記事のポイント: JVNは2026年10月6日、Androidアプリ「チケット流通センター」4.1.9以前に複数の脆弱性があると発表しました。APIキーの窃取とフィッシングサイトへの誘導の2つで、修正版4.2.0は提供済みです。利用者が今すぐ取るべき更新と対処を、一次情報に基づいて解説します。

チケット流通センターの脆弱性とは？APIキー流出とフィッシングへの対処（2026年10月6日）

この脆弱性の要点（2026年10月6日公表）

JVN（JPCERT/CCが調整する脆弱性対策情報）は2026年10月6日、株式会社ウェイブダッシュが提供するAndroidアプリ「チケット流通センター」に複数の脆弱性があると発表しました。影響を受けるのは4.1.9およびそれ以前のバージョンです。修正版は4.2.0で、開発者がすでに提供しています（出典: JVN#53292492、2026年10月6日取得）。JVNアドバイザリ（2026年10月6日）。

脆弱性は2つあります。1つはアプリ内に外部サービス連携用のAPIキーがハードコードされており、悪用されると認証情報が漏えいする可能性がある点（CVE-2026-92861）。もう1つはアプリのURLスキームが不正なアプリからの操作を十分に制限しておらず、悪意あるウェブサイト（フィッシング等）へ誘導される可能性がある点（CVE-2026-92862）です。どちらも読者が取るべき行動は明確で、アプリを4.2.0へ更新することです。

認証情報のハードコード（CVE-2026-92861）で何が起きるか

CVE-2026-92861は、外部サービス連携用のAPIキーがアプリ内にハードコードされており、悪意ある人が読み取る可能性がある脆弱性です。JVNの記載では、このAPIキーが窃取される可能性があります（出典: JVN#53292492、2026年10月6日取得）。JVNアドバイザリ。

ハードコードされた認証情報は、アプリのコードから直接読み取れる形で残るため、不正なアプリの作成者や攻撃者が取り出せる余地があります。窃取されたAPIキーが悪用されると、外部サービスとの連携経路を悪用される可能性があります。アカウントのパスワードそのものが漏れる手口ではないものの、認証情報の一種であるAPIキーが漏れる点は、アカウント被害の入口になり得ます。

開発者は、修正版4.2.0では当該APIキーをアプリ内から削除し、既存のAPIキーも無効化したと説明しています（出典: JVN#53292492、2026年10月6日取得）。旧バージョンに含まれる情報の悪用は不可とされていますが、利用者側としては4.2.0へ更新して最新の状態に保つのが基本です。

悪意あるアプリからの誘導（CVE-2026-92862）とフィッシング

CVE-2026-92862は、アプリのCustom URL Scheme（カスタムURLスキーム）ハンドラーにおけるアクセス制限の不備です。想定される被害としては、ユーザーが悪意あるアプリをインストールさせられ、そのアプリからintentを送ることで、チケット流通センターを経由して悪意あるウェブサイトにアクセスさせられ、フィッシング等の被害に遭う可能性があります（出典: JVN#53292492、2026年10月6日取得）。JVNアドバイザリ。

URLスキームは、アプリ間で引き継ぎを行うための仕組みです。悪意あるアプリが正規アプリに不正なリンクを渡すと、正規アプリの画面を装ってフィッシングサイトが表示される余地があります。ユーザーから見ると、公式アプリの文脈でサイトを開いたように見えるため、普段の注意だけでは見分けがつきにくいのが実際のところです。

チケット流通センターは、チケットの売買仲介サービスとして、マイページのアカウントと個人情報・支払い情報を扱います。フィッシングサイトに氏名・住所・電話番号・クレジットカード番号などを入力させられる手口は、このメディアが扱うアカウント乗っ取り・情報漏えいの典型的な経路です。2023年12月には、同社を装ったフィッシング偽サイトが確認されており、入力された情報が悪用される恐れがあるとして注意喚起が出されています（出典: チケット流通センターお知らせページ、2026年10月6日取得）。

利用者が今すぐ取るべき対策

利用者が取るべき対策は、JVNの推奨対策どおり「開発者が提供する情報をもとに最新版へアップデートすること」です（出典: JVN#53292492、2026年10月6日取得）。JVNアドバイザリ。

アカウント乗っ取りと今回の手口の関係

今回の脆弱性2件は、いずれも「アカウントのパスワードを直接奪う」手口ではありません。しかし、認証情報（APIキー）の窃取と、フィッシングサイトへの誘導は、アカウント乗っ取り・不正ログインの入口になり得ます。フィッシングサイトで入力した氏名・カード番号・パスワードなどは、悪用されてアカウント被害や金銭被害につながります。

チケット流通センターでは、マイページのパスワード変更や問い合わせフォームから被害の申告ができる運用です。すでに不審なサイトで情報入力をしてしまった場合は、パスワード変更とカード会社への連絡を急ぐことになります。

よくある質問

Q. チケット流通センターのアプリは今すぐ更新すべきですか？

はい。JVN#53292492は2026年10月6日に公開され、影響を受ける4.1.9以前のバージョンには認証情報のハードコードとURLスキームの制限不備があります。修正版4.2.0はすでに提供されており、開発者は影響を受けるバージョンで起動時に即時アップデートが強制されると説明しています（出典: JVN#53292492、2026年10月6日取得）。今すぐ更新してください。

Q. 4.1.9以前のまま使っていて、何が起きますか？

CVE-2026-92861により外部サービス連携用のAPIキーが窃取される可能性があります。また、CVE-2026-92862により、悪意あるアプリからintentを送ることでチケット流通センターを経由して悪意あるウェブサイトにアクセスさせられ、フィッシング等の被害に遭う可能性があります（出典: JVN#53292492、2026年10月6日取得）。

Q. 修正版の入手方法と、既存のAPIキーの扱いは？

修正版はアプリストアから4.2.0以上を入手できます。開発者は、修正版ではAPIキーをアプリ内から削除し、既存のAPIキーも無効化したと説明しており、旧バージョンに含まれる情報の悪用は不可としています（出典: JVN#53292492、2026年10月6日取得）。

Q. すでにフィッシングサイトで情報を入力してしまったら？

すぐにアプリのパスワードを変更してください。チケット流通センターでは、ヘルプからマイページのパスワード変更ができます。クレジットカード情報を入力した場合はカード会社にも連絡し、身に覚えのない取引がないか確認してください。心当たりのない入力・登録があった場合は、サービスの問い合わせフォームから連絡することをおすすめします（出典: チケット流通センターお知らせページ、2026年10月6日取得）。

出典と取得日

出典: JVN#53292492「Androidアプリ「チケット流通センター」における複数の脆弱性」（JPCERT/CC・2026年10月6日公開）2026年10月6日取得。JVN iPedia JVNDB-2026-000145 同日取得。チケット流通センターお知らせ「不審な取引ならびにアカウント乗っ取りにご注意」2026年10月6日取得。本稿のバージョン・深刻度・脆弱性の種類・修正版の記載は、すべて当日取得したJVNアドバイザリの内容に基づきます。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針