何が起きたか
CarrollはFront Gate TicketsのログインポータルにSQLインジェクションの兆候を見つけたものの、Webアプリケーションファイアウォール(WAF)に阻まれていました。そこでClaude Opus 4.7に相談したところ、AIは「入れ子のSQLクエリ(nested SQL query)」を用いてWAFを回避するコードを自ら記述。500のデータベースから顧客情報のサンプルを抽出するスクリプトまで自動生成しました。
さらにCarrollはスーパー管理者アカウントのパスワードをリセットし、バックエンドに保存されていたリセットコードを取得して乗っ取りに成功。二要素認証は設定されておらず、Bonnarooの4日通し「Platinum」チケット(定価4,000ドル)をコンプ扱いでカートに投入することさえできました。
なぜ重要か
Coachellaを除く主要フェスのチケットが単一事業者に集約されている構造そのものが、単一障害点(SPOF)を形成しています。Carroll自身が「フェス版Ticketmasterのような独占状態」と指摘するように、1社の脆弱性が業界全体の信頼問題に直結します。
それ以上に注目すべきは、Carrollが「自分では書けなかったコードをClaudeが完全に自力で書いた」と証言している点です。Anthropicは同社の「Cyber Verification Program」参加者以外がClaudeで同種の攻撃を試みれば検知・遮断されると説明していますが、防御側と攻撃側のAI活用格差がハッキングの参入障壁を根本から下げつつある現実は動きません。
主張の食い違い
Front Gate側は「攻撃対象はエントリースキャナー用の内部APIであり、消費者向けシステムではない」と主張。一方Carrollは「公開ログインポータルから侵入した」と反論しており、企業側からの検知反応は一切なかったとしています。Front Gateは「過去に悪用されていない証拠がある」とは明言していません。
出典: Wired
💼 事業会社視点：これは自社にどう効くか
日本企業、特にBtoCのECプラットフォーム、SaaS、興行・チケッティング事業者にとって、これは対岸の火事ではありません。
**第1に、SaaS集約リスクの再評価が急務です。**ぴあ、イープラス、チケットぴあなど日本のチケット市場も寡占構造にあり、Live Nation/Front Gateと同じ「単一事業者への集中」問題を抱えています。事業責任者は自社が依存する決済・認証・在庫SaaSベンダーのペネトレーションテスト実施状況とバグバウンティ運用実態を、契約更新前に必ず確認すべきです。
**第2に、WAF依存の防御設計は既に時代遅れです。**Claudeが「入れ子SQL」でWAFを回避した事実は、シグネチャベース防御が生成AIの創造性に追いつけないことを示しています。CISO・情報システム部門は、内部APIも含めた入力サニタイゼーション、パラメータ化クエリ、最小権限原則への回帰を経営マターとして再優先化する必要があります。
**第3に、管理者アカウントへの2要素認証未導入は経営責任問題です。**受託開発ベンダーに「管理画面のMFA有無」を即座に監査させるべきタイミングです。