サインドの不正アクセス（BeautyMerit）｜公表と続報のまとめ

何が起きたか

2026年3月24日、東証グロースに上場するサインドは、理美容店向けのクラウドの予約管理システム「BeautyMerit」が外部から不正アクセスを受け、店舗を利用した人の個人情報が漏えいした可能性があると公表しました（サインドの2026年3月24日の発表）。 3月10日に自社のシステムへの不審なアクセスを検知し、すぐにネットワークから切り離したとしています。対象の情報は、理美容店を利用した人の氏名・電話番号・メールアドレスなどです。件数は公表されていません。クレジットカードなどの決済の情報はシステムに持っていないとしています。 4月27日の第2報では、外部の専門機関によるフォレンジック調査で、外にデータが持ち出された痕跡やバックドアの痕跡は確認されなかったと報告しました。ただし、閲覧できた可能性がある範囲については、漏えいのリスクを完全には否定できないと判断したとしています（サインドの2026年4月27日の発表）。侵入の経路と手口は公表されていません。二次被害は確認されていないとしています。

会社の対応

• 不正アクセスの経路を特定して遮断し、BeautyMerit は通常どおり動いているとしています
• 個人情報保護委員会に報告し、警察署にも申告した
• 対象の利用者には理美容店と連携して順に案内し、連絡先が分からない人には公表と店舗のホームページでのお知らせで代えるとしています
• 再発防止策として、通信の経路の見直しと厳格化、セキュリティポリシーと認証の方式の見直し、監視の強化、網羅的な脆弱性診断を挙げています
• 業績への影響は軽微としています

この事例から中小企業が学べること

• 予約・顧客管理をクラウドのサービスに任せている店は、サービスの会社が事故を公表したときに、自社の顧客への案内を誰がどう行うかを決めておく
• 不審なアクセスに気づいたら、まずネットワークから切り離す手順を、担当者と外部の相談先を含めて書いておく
• 調査で持ち出しが確認されなくても、閲覧できた範囲は漏えいの可能性として扱い、顧客に知らせる判断の基準を持っておく
• システムに置く顧客の情報を、予約に必要な項目だけに絞る