ビューティガレージは2026年10月15日、同社が運営するECサイトのサーバーが第三者による不正アクセスを受け、顧客情報の一部が外部に流出したことを確認したと公表した。対象は「ビューティガレージ」および「アイラッシュガレージ」のECシステムに保存されていた顧客情報で、同社は不正アクセスの経路を特定して遮断を完了している。
事案の詳細
同社の公表によると、不正侵入は2026年10月10日から12日にかけて発生し、顧客情報の一部が取得され、外部に流出した。2026年10月13日に事象を検知し、同日中に今回使用された不正アクセスの経路を特定して遮断した。
2026年10月10日23時55分時点で両ECシステムに保存されていた顧客情報は775,725件。漏洩が確認された主な項目は、会社名、サロン名、顧客名、営業形態、サロンURL、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値。
現時点で、顧客の住所情報、配送先情報、購入履歴、クレジットカード情報を含む決済情報の漏洩は確認されていない。また、流出した情報が不特定多数に公開された事実や、不正利用された事実も確認されていない。具体的な侵入手法や脆弱性の詳細は現時点で不明。
同社は、個人情報保護委員会などの関係機関への必要な報告・相談を進めている。
影響と背景
今回の事案では、ECシステムに保存されていた顧客情報のうち、氏名や連絡先などの情報が外部に流出したことが確認された。一方、住所情報、配送先情報、購入履歴、クレジットカード情報を含む決済情報の漏洩や、流出情報の不正利用は確認されていない。
対象情報にはメールアドレスやパスワードのハッシュ値などが含まれるため、利用者は同社ECサイトと同じ、または類似したパスワードを他のサービスで使用している場合、速やかに変更する必要がある。ハッシュ値の具体的な方式や安全性に関する詳細は現時点で不明。
なお、同社では2026年2月にも、カード会社からの連絡を受けてECサイトでクレジットカード情報が流出した可能性があるとして、カード決済を一時停止していた（当時の記事）。今回の不正アクセスとの関係は、現時点で公表されていない。
対策・今後の展望
同社は、不正アクセス経路の遮断に加え、関係機関への報告・相談を進め、再発防止およびセキュリティ対策の強化に取り組むとしている。今後、調査の進展に応じて追加情報が公表される可能性がある。
利用者は、同社を装った不審なメールやSMS、電話に注意し、メールアドレスやパスワードなどの認証情報を入力しないことが重要となる。同社ECサイトと同じパスワードを他サービスでも使用している場合は、各サービスで異なるパスワードに変更し、多要素認証を利用できる場合は有効化することが望ましい。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】今回の公表では、攻撃者がECサイトのサーバーへ不正侵入し、保存されていた顧客情報の一部を取得して外部へ流出させたことが確認されている。侵入経路や具体的な攻撃手法は現時点で公表されていないため、公開管理画面の悪用、認証情報の窃取、脆弱性の悪用などを断定することはできない。
【観点②：セキュリティ専門家でない人への平易な解説】今回の事案は、店舗の裏側に第三者が侵入し、顧客名簿や連絡先の一部を持ち出したことが確認された状態に近い。ただし、住所や配送先、購入履歴、クレジットカード情報を含む決済情報の漏洩は確認されていない。
【観点③：中小企業が今週中にできること】自社のECや会員サイトで、管理者アカウントの棚卸し、不要アカウントの削除、強固で使い回しのないパスワードへの変更、多要素認証の導入可否を確認する。あわせて、管理画面やサーバーへのアクセスログを保存し、通常と異なる地域・時間帯からのログインやログイン失敗の急増を確認できる体制を整える。顧客や取引先に届く不審な連絡の報告窓口を一本化し、インシデント発生時の初動対応と外部への連絡手順を文書化しておく。