サインド「BeautyMerit」への不正アクセス（閲覧可能性のある範囲の個人情報、外部持ち出しの痕跡は未確認）
公表日
理美容店向けの予約管理システム「BeautyMerit」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、店舗の利用者の氏名・電話番号・メールアドレス等が見られた可能性があります。外部へ持ち出された痕跡は確認されておらず、件数はまだ発表されていません。
対象者は？
BeautyMeritを使う理美容店舗の利用者が対象です。委託先の資生堂美容室の顧客も含まれます。見られた可能性がある情報は、氏名・電話番号・メールアドレス等です。資生堂美容室の発表では、性別やお客さまが入力した情報も含まれます。クレジットカード情報や決済に関わる情報はシステム内に保存されておらず、対象に含まれません。
対象の方には、店舗と連携して順次案内が行われます。個別の連絡が難しい場合は、サインドの発表や各店舗のホームページ等のお知らせで代えるとされています。資生堂美容室は、対象の顧客に個別連絡を済ませたと発表しています。
いますぐできること
- 利用している理美容店から案内が届いていないか、メールや店舗のホームページを確認する。
- 身に覚えのない電話・メール・SMSが届いたときは、すぐに応じず、店舗の公式な連絡先で確認する。
何が起きたのか
2026年3月10日、サインドはBeautyMeritシステムへの不審なアクセスに気づきました。すぐにネットワークから切り離し、外部の専門機関と調べ始めました。3月24日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と個人情報が漏れた可能性を発表し、警察と個人情報保護委員会にも届け出ています。4月27日の第二報では、情報をダウンロードして外へ持ち出した痕跡や、侵入用の裏口を仕掛けた痕跡は見つからなかったとしました。ただし、見られる可能性があった範囲の情報は、漏れた可能性を完全には否定できないとしています。5月7日には、システムを委託していた資生堂美容室も、顧客情報が見られた可能性があると発表しました。
なぜ起きたのか・なぜ広がったのか
攻撃の入り口になった方法や弱点は、まだ発表されていません。第二報では、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の経路を特定して遮断したとされていますが、その中身は示されていません。顧客情報を預ける店舗や委託元が、サービス提供元のシステムを通じて影響を受ける形になりました。
いまの状況2026-05-07 時点続報待ち
2026年5月7日時点で、外部への持ち出しの痕跡は確認されておらず、二次被害も確認されていません。サインドは、通信経路や認証方式の見直し、監視の強化、脆弱性診断などの再発防止策を進めており、外部への流出の可能性も引き続き監視するとしています。対象件数や攻撃者については、まだ発表されていません。サインドは連結業績（2026年3月期）への影響を、現時点で軽微と考えているとしています。
企業として考えたいこと
自社の顧客情報を預けているクラウドサービスの提供元で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が起きたとき、自社は何日以内に事実を知り、顧客へ何をどう伝えられるでしょうか。
技術的な要約
サインドは2026年3月10日、理美容店舗向けクラウド型予約管理システム「BeautyMerit」への不審なアクセスを検知し、即時にネットワークから遮断して外部専門機関と調査を開始した。3月24日の第一報で、不正アクセスと個人情報漏洩の可能性を公表した。4月27日の第二報では、フォレンジック調査により外部への持ち出しやバックドア設置の痕跡は確認されなかったが、閲覧され得た範囲の情報は漏洩リスクを完全に否定できないとした。漏洩リスクのある情報は氏名・電話番号・メールアドレス等で、クレジットカード情報・決済情報は保持していない。二次被害は現時点で確認されていない。委託先の資生堂美容室も5月7日に影響の可能性を公表している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第一報では、攻撃の具体的な手法や脆弱性の詳細、認証情報の悪用有無など技術的な侵入原因は公表されていない。第二報で「不正アクセス経路を特定・遮断済み」とされるが、経路の内容は示されていない。再発防止策に通信経路や認証方式の見直しが挙がっている。
- 脆弱性
- CVE 非公表不明BeautyMerit脆弱性の詳細は非公表。再発防止策に脆弱性診断の実施が含まれる。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止の有無は公表されていない。検知後、システムをネットワークから遮断した。
- データ
- おそれ上限 —確定 —氏名電話メール性別その他件数は非公表。外部への持ち出しの痕跡は確認されていないが、閲覧され得た範囲は漏洩リスクを否定できない。資生堂美容室の公表では、性別やお客さまがシステムに入力した情報も対象。クレジットカード・決済情報は保持していない。
- 波及先
- —
- 資生堂美容室（資生堂ビューティーサロン株式会社）：予約・顧客管理システムを委託。顧客に個別連絡済み
- BeautyMeritを契約している理美容店舗
- 金銭影響
- 連結業績（2026年3月期）への影響は現時点で軽微と考えている。
- サプライチェーン
- BeautyMeritを利用する理美容店舗が顧客情報の管理を委ねていた。資生堂美容室は委託先サインドのサーバーが攻撃を受けた委託先経由の事案と説明している。
時系列
技術解説
公表された経緯 事実
2026年3月10日、サインドはBeautyMeritシステムへの不審なアクセスを検知した。即時にネットワークから遮断して外部セキュリティ専門機関との調査を開始し、不正アクセス経路を特定・遮断済みとされる。3月24日の第一報では、不正アクセスと個人情報漏洩の可能性、クレジットカード情報への影響なしを公表した。あわせて警察への被害申告と個人情報保護委員会への報告を実施済みとした。4月27日の第二報でフォレンジック調査の結果を公表した。5月7日には、予約・顧客管理システムを委託していた資生堂美容室が、サインドのサーバーへの不正アクセスにより顧客情報が閲覧された可能性があると発表した。
調査結果と影響範囲 事実
第二報によると、フォレンジック調査では個人情報をダウンロードするなど外部に持ち出された痕跡は確認されず、バックドア設置の痕跡も検出されなかった。一方でサインドは、第三者が閲覧できる可能性があった範囲の情報について、漏えいのリスクを完全に否定することが困難と判断している。システム内の個人情報は理美容店の利用者の氏名・電話番号・メールアドレス等で、クレジットカード情報や決済に関わる情報は保持していない。資生堂美容室の公表では、性別やお客さまが入力した情報も対象とされる。二次被害は現時点で確認されていない。参照できた公表内容には、対象件数の記載がない。
委託構造と周知の流れ 解釈
本件は、クラウド型サービスの提供元が不正アクセスを受け、利用店舗や委託元の顧客情報に影響が及び得る構造と読める。資生堂美容室自身も委託先経由のサプライチェーンリスクの事案と説明している。顧客と直接つながるのは店舗側で、個別案内は店舗と連携して順次行われる。そのため、提供元から店舗への情報共有の速さが、利用者への周知の早さに関わりうると考えられる。また「持ち出しの痕跡なし」と「閲覧可能範囲は漏洩リスクを否定できない」が併記されている。痕跡の判断がどのログに基づくかは公表から分からず、確度の評価はできない。以上は解釈であり、サインドの対応の優劣を述べるものではない。
侵入口が示されていない点の読み方 解釈
第一報では攻撃の具体的な手法や脆弱性の詳細、認証情報の悪用有無など、技術的な侵入原因は公表されていない。第二報でも経路を特定・遮断済みとされるが、その内容は示されていない。再発防止策には通信経路の見直しと厳格化、認証方式の見直し、網羅的な脆弱性診断が挙がる。ここから通信経路や認証が論点だった可能性を想像することもできるが、一般的な再発防止項目でもあり、推測の域を出ない。原因が非公表の間は、同種のクラウド型サービスを使う側が自社で何を点検すべきか判断しにくい。侵入口を特定するには、今後の続報を待つ必要がある。
対応
- 封じ込め
- 不審なアクセス検知後、即時にネットワークから遮断し外部専門機関と調査。不正アクセス経路を特定・遮断済み。再発防止として通信経路の見直しと厳格化、セキュリティポリシーおよび認証方式の見直し、監視体制の強化、網羅的な脆弱性診断の実施等を進めている。外部への情報流出の可能性は引き続きモニタリングする。
- 公表の仕方
- 2026年3月24日に第一報、4月27日に第二報を公表。対象利用者へは契約店舗と連携して順次個別案内し、個別通知が困難な場合は本公表および各店舗のホームページ等での告知をもって代える。
- 当局対応
- 警察への被害申告（実施済み）
- 個人情報保護委員会への報告（実施済み）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| SaaS提供元の侵害は、契約店舗や委託元の顧客情報に及び得る | SaaSを使う側は、委託先ごとに保存する個人情報の項目を台帳で管理する。契約書やSLAに、インシデント発生時の通知期限と連絡窓口を明記し、年1回は窓口へ連絡が届くか確認する。 |
| 「持ち出しの痕跡なし」でも、閲覧可能範囲の漏洩リスクは残る | アプリケーションとDBのアクセスログを、ダウンロード量やエクスポート操作まで追える粒度で十分な期間保持する。閲覧可能だった範囲を後から機械的に算出できるよう、データ種別ごとのアクセス権限を分離しておく。 |
| 決済情報を持たない設計は、被害範囲の限定に役立つ | クレジットカード番号などは自社で保持せず決済代行事業者のトークンで扱う。保存項目を定期棚卸しし、不要な属性や入力欄を削減する。 |
| 侵入口を示す情報は、利用者側の点検にも役立つ | インシデント公表時には、攻撃の入口の分類（認証、公開機能、通信経路など）を可能な範囲で示す方針を事前に決めておく。非公開の場合も、利用者向けに確認すべき設定項目を別途案内できるようにしておく。 |
| 個別通知が店舗経由になる場合は、周知の遅れが生じうる | インシデント時に使う店舗向けの通知テンプレートと配布手順を用意する。連絡先不明の利用者向けの代替告知（Webページ等）の掲載手順を、事前に演習で確認しておく。 |
自組織などでの確認項目
- 自組織が使うクラウド型SaaSのうち、顧客の個人情報を預けているものを一覧にできるか。各サービスの提供元がインシデントを起こした場合の連絡経路は決まっているか。
- 自組織のシステムで「閲覧された可能性」を判断するとき、どのログを何日分まで遡れるか。ダウンロードやエクスポートの操作を区別して確認できるか。
- 委託先の侵害が起きた際、自組織が顧客へ個別通知する手順（対象抽出、連絡先、代替告知）は文書化されているか。最近、確認や演習を行ったか。
未解明点
- 不正アクセスの侵入日と、特定・遮断済みとされる不正アクセス経路の具体的な内容は何か。
- 閲覧され得た範囲の対象件数と、契約店舗の数はどれだけか。
- BeautyMeritのサービス停止の有無と、その期間はどうだったか。
- 攻撃者の特定や、攻撃者による主張の有無はどうなっているか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-01報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-12報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-26報道本文確認済
- 4ScanNetSecurity2026-04-02報道本文確認済
- 5株式会社サインド2026-04-27公式本文確認済