何が起きたか
この事故で流出した、または流出したおそれがある情報は、会社名、サロン名、氏名、電話番号、メールアドレス、パスワードのハッシュ値、再設定用の質問と回答のハッシュ値など775,725件。住所・購入履歴・決済情報の漏えいは確認されていないです。その後の対応と影響は、10月13日に検知し、同日中に経路を遮断した。対象者にメールで個別に案内し、個人情報保護委員会などへ報告・相談を進めている。2026年2月にはクレジットカード情報漏えい懸念を公表しており、その対策中に今回の流出が起きたです。
原因になったのは「ECサイトのサーバーへの不正侵入」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
ECサイトのサーバーへの第三者の不正侵入。侵入の手口は公表されていない。
- 1つ外側 流出した情報確定
会社名、サロン名、氏名、電話番号、メールアドレス、パスワードのハッシュ値、再設定用の質問と回答のハッシュ値など775,725件。住所・購入履歴・決済情報の漏えいは確認されていない。
- いちばん外側 その後の対応と影響確定
10月13日に検知し、同日中に経路を遮断した。対象者にメールで個別に案内し、個人情報保護委員会などへ報告・相談を進めている。2026年2月にはクレジットカード情報漏えい懸念を公表しており、その対策中に今回の流出が起きた。
なぜ起きたか
詳しい経緯は公表されていない。会社は使われた不正アクセスの経路を特定したとしているが、内容は公表されていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年2月6日別件でクレジットカード情報漏えい懸念を公表
- 10月10日〜12日ECサイトのサーバーに不正侵入
- 10月13日事象を検知し、経路を遮断
- 10月15日顧客情報775,725件の流出を公表
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）過去に事故が起きたECサイトでは、対策の途中でも外部の脆弱性診断とサーバーの通信監視を先に入れておくと、再侵入に早く気づける可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- ECサイトのサーバーとアプリについて、直近の脆弱性診断の日付と結果を確認する
- サーバーから外部への大量送信を検知する設定を確認する
- パスワードの保存方式が推測されにくいハッシュ化になっているか確認する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- 不正アクセスによるお客様情報漏洩に関するお詫びとお知らせ2026.10.15
