資生堂のオンライン肌測定システム「FCA」への不正アクセス（個人情報2,515件漏えい）
公表日
資生堂のオンライン肌測定システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、利用者の肌測定結果や氏名など個人情報2,515件の漏えいが確認されました。
対象者は？
資生堂オンラインストアおよびSHISEIDOの肌測定サービス「Beauty Alive Circulation Check」を利用した顧客（氏名、メールアドレス、年齢、性別、会員ID、問診データ、肌測定結果が対象。顔画像データおよびクレジットカード情報は含まれていません）。
本人を特定できる顧客には資生堂から個別に連絡が行われます。利用状況により特定困難な顧客へは公式告知にて案内されています。
いますぐできること
- 資生堂や関係機関をかたる不審なメールや連絡（フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺など）に注意し、心当たりのないリンクは開かない。
何が起きたのか
2026年10月27日、資生堂グループが使用する肌測定システム「Facial Condition Analyzer（FCA）」で外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されました。同社は即日サービスを停止し、外部専門機関と調査を行った結果、システム内の一部データが改ざんされ外部へ持ち出されていたことが判明しました。これにより、オンライン肌測定サービスを利用した顧客の個人情報2,515件が漏えいしたことが確認され、11月6日に公表されました。
なぜ起きたのか・なぜ広がったのか
外部の第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、システム内のデータが改ざん・持ち出されましたが、侵入口となった具体的な脆弱性や侵入経路の詳細は公表されていません。
いまの状況2026-11-06 時点続報待ち
漏えいが確認された「Beauty Alive Circulation Check」のほか、同一システムを利用する「肌パシャ」「Men's Skin Checker」「AIスキンアナライザー」「AIレシピストmico」「CO-HADA Scan」も予防的にサービスが停止されています。原因究明とセキュリティ対策が進められており、安全性が確認され次第サービスを再開する方針ですが、再開時期は未定です。
企業として考えたいこと
複数のブランドや自社サービスで共通のクラウド基盤や分析エンジンを利用している場合、一つの機能が侵害された際の影響遮断や予防的停止の基準は明確になっていますか？
技術的な要約
資生堂は2026年10月27日、グループで使用しているオンライン肌測定システム「Facial Condition Analyzer（FCA）」において外部の第三者による不正アクセスを確認した。調査の結果、システム内の一部情報が改ざんされ、データが外部へ持ち出されていたことが判明した。これにより、「Beauty Alive Circulation Check」を利用した顧客の氏名、メールアドレス、年齢、性別、会員ID、問診データ、肌測定結果など計2,515件の個人情報が漏えいしたことを確認した。なお、肌測定に使用された顔画像データおよびクレジットカード情報の漏えいは確認されていない。同社は確認当日に当該システムを利用する肌測定サービスおよび関連サービスを一時停止し、個人情報保護委員会や警察への報告と外部専門機関と連携した原因究明を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表資料では「外部の第三者による不正アクセス」とされているのみで、具体的な侵入口や攻撃経路は公表されていない。
- 脆弱性
- CVE 非公表不明Facial Condition Analyzer（FCA）悪用された脆弱性の詳細やCVE番号は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり オンライン肌測定サービス「Beauty Alive Circulation Check」のほか、同一のFCAシステムを使用する「肌パシャ」「Men's Skin Checker」「AIスキンアナライザー」「AIレシピストmico」「CO-HADA Scan」が被害拡大防止・安全確認のため一時停止された。再開時期は未定。期間：2026-10-27〜（再開時期未定）
- データ
- 確定上限 2,515確定 2,515件氏名メール会員ID性別その他資生堂オンラインストアおよびSHISEIDOの「Beauty Alive Circulation Check」利用者の氏名、メールアドレス、年齢、性別、会員ID、問診データ、肌測定結果（日時含む）が漏えい。顔画像データおよびクレジットカード情報は含まれていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 資生堂グループが使用するオンライン肌測定システム「FCA」が不正アクセスを受けた。事案発生に伴いシステム開発元と連携して緊急対応を実施している。
時系列
- 2026-10-22資生堂が緊急システム保守とセキュリティ確認の実施に伴い、一部のウェブサイトおよびオンラインサービスを一時停止する告知を実施（報道による）3
- 2026-10-27
- 2026-10-27
- 2026-10-27
- 2026-10-27
- 2026-11-06
- 2026-11-06
- 2026-11-06
技術解説
不正アクセスの検知と被害の公表状況 事実
資生堂グループが利用するオンライン肌測定システム「Facial Condition Analyzer（FCA）」において、2026年10月27日に外部の第三者による不正アクセスが確認された。その後の詳細調査により、システム内の一部情報が改ざんされ、データが外部へ持ち出されていた事実が判明した。これにより、オンライン肌測定サービス「Beauty Alive Circulation Check」を利用した顧客の個人情報が計2,515件漏えいしたことが確認されている。漏えいしたデータには、氏名、メールアドレス、年齢、性別、会員ID、問診データ、測定日時を含む肌測定結果が含まれている。一方で、肌測定時に撮影された顔画像データは漏えい対象に含まれておらず、当該システム自体でクレジットカード情報を取り扱っていないため決済情報の漏えいもないことが公表されている。
共通基盤システムに起因する影響範囲の波及 解釈
漏えいが直接確認されたのは「Beauty Alive Circulation Check」のみであったが、被害拡大防止と安全確認のため、同じ「FCA」基盤を使用する複数のブランドおよびサービス（資生堂オンラインストアの「肌パシャ」「Men's Skin Checker」、エリクシールの「AIスキンアナライザー」、イプサの「AIレシピストmico」「CO-HADA Scan」）が予防的に一時停止された。このように共通基盤や同一エンジンを複数サービスで水平展開している構成では、基盤側で侵害や改ざんが発生した際に、直接的な情報漏えい被害の有無にかかわらず、依存するすべての顧客向け機能の稼働を止めざるを得なくなるというアーキテクチャ上のリスクが顕在化した事例といえる。
初動対応と顧客通知における情報管理の課題 解釈
資生堂は10月27日の不正アクセス確認当日にサービスの停止に踏み切り、システム開発元と連携した緊急対応や個人情報保護委員会・警察への報告を速やかに進めた。しかし、公表資料によると、肌測定サービスの利用形態や登録状況によっては利用者の本人特定情報を保有していないケースが存在し、個別連絡が困難な顧客に対してはウェブサイト上の告知のみで報告を行う形となった。マーケティングや利便性向上のためにログインなし・最小限の入力で利用できるWebサービスにおいては、セキュリティインシデント発生時に影響を受けた対象者へ確実にリーチするための連絡手段が欠落しやすく、通知プロセスにおける運用上の制約となることが浮き彫りとなった。
対応
- 封じ込め
- 不正アクセス確認当日の2026年10月27日より、FCAシステムを使用する一部の肌測定サービスを停止。さらに同一システムを利用する関連肌測定サービスについても被害拡大防止のため予防的に一時停止し、システム開発元と連携した緊急対応を実施した。
- 公表の仕方
- 2026年11月6日にコーポレートサイトおよび資生堂オンラインストアにて不正アクセスとお詫び・報告の告知を公表。本人特定が可能な顧客には個別連絡を行い、特定困難な顧客へは告知での報告を行うとともに、不審メールへの注意喚起を行った。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 共通バックエンド基盤の侵害によるサービス広域停止への備え | 複数サービスで共有するAPIや分析エンジンはテナント・サービスごとにデータストアやアクセス権限を論理分離し、特定機能でのインシデント時にも他サービスを安全に継続稼働できる設計を導入する。 |
| システム内改ざんおよびデータ持ち出しの早期検知 | データベースおよびアプリケーションサーバの整合性監視（FIM）を導入し、ファイルやレコードの改ざん、および大容量データ・外部通信の異常な持ち出し（C2通信等）をリアルタイムに検知・アラート化する。 |
| 機微情報（顔画像等）と属性情報の分離管理 | 顔画像データなどの生体・プライバシーデータをテキスト属性情報（問診・測定結果）と暗号化キーを分けて別ストレージに隔離保存し、万が一のDB侵害時でも高機微データの同時漏えいを防ぐ。 |
| 匿名・簡易利用型Web機能における顧客通知体制の確保 | 会員IDを持たない一時的利用者やオプトイン利用を認めるWeb施策であっても、事後連絡や追跡が必要となるリスクを考慮し、同意取得と連絡先紐付けの運用ルールを策定する。 |
自組織などでの確認項目
- 自社で複数ブランドやサービスが共通して利用しているバックエンドや外部システムにおいて、侵害発生時の切り離し手順や影響範囲の特定は確立されているか。
- データベースやファイルサーバにおける予期せぬ改ざんや異常な外部送信を即座に検知・遮断できる監視体制が整っているか。
- 会員登録を必須としないWeb診断やキャンペーン施策において、個人情報や問診データを保持している場合、インシデント発生時に対象者へ通知できる手段が存在するか。
未解明点
- 攻撃者がオンライン肌測定システム「FCA」へ侵入した具体的な攻撃経路や悪用された脆弱性、改ざんされた情報の詳細内容はどのようなものだったか。
出典
- 1株式会社資生堂2026-11-06公式本文確認済
- 2リアルタイムニュースNAVI2026-11-07報道本文確認済
- 3RetailBoss2026-10-22報道本文確認済
- 4日本経済新聞2026-11-06報道本文確認済
- 5資生堂オンラインストア2026-11-06公式本文確認済