ホワイトエッセンスの不正アクセス｜公表と続報のまとめ

何が起きたか

予約サイトと基幹システム（2026年8月〜）

2026年8月12日、ホワイトエッセンスは、同社が運営する予約サイトと基幹システムへの第三者の不正アクセスを8月5日に確認したとして、両システムを一時停止したと公表しました（ホワイトエッセンスの発表。8月19日・9月10日に更新）。 2026年10月5日には、お客さまの個人情報が外部に持ち出されていたと公表しました。対象は約105万アカウント（お客さまのほか、加盟院の関係者・本部の社員などを含む全体の数）です。 情報は、氏名・住所・電話番号・メールアドレス・生年月日・性別・勤め先・ログイン ID とパスワード（暗号化された状態）・サービスの利用と対応に関する情報・同社の管理番号などで、人によって項目は異なるとしています。金融機関の口座の情報は預かっておらず、お客さまの画像の漏えいも確認されていないとしています。 原因は、予約サイトのプログラムにあった脆弱性を悪用され、そこを起点に基幹システムへ不正アクセスされたことと公表しています。10月5日の時点で、二次的な被害は確認されていないとしています。

歯科衛生士転職サイト「メグリー」（2026年2月〜）

同社が運営する歯科衛生士向けの転職サイト「メグリー」では、2026年2月18日に第三者の不正アクセスが分かり、3月6日に第一報を公表しました。 4月17日の続報では、運用サーバーのデータベースのデータが窃取された可能性が高いとしました。情報は、氏名・歯科医院名・顔写真・生年月日・住所・連絡先・LINE ID・ログインパスワード・学歴・職歴・転職希望条件・マッチング履歴などです。LINE ID とパスワードはハッシュ化されており、平文で漏えいしたおそれはないとしています。原因は、Web アプリケーションの開発を効率化するツールの脆弱性を悪用されたものとみていると同社は説明しています（4月17日の続報）。

会社の対応

• 予約サイトと基幹システムを8月12日に一時停止。脆弱性に対処し、外部の専門機関の確認を経て、安全を確かめた範囲からサービスを再開（10月5日の時点でマイページの機能は停止中）
• 悪用された脆弱性への対処を終え、不正な通信を見つけて止める仕組みを入れたとしています。認証の方式、システムの構成と権限の設定の見直し、監視の体制の強化に順に取り組むとしています
• 個人情報保護委員会へ報告し、警察にも相談。連絡先が分かるお客さまへ順に個別に連絡し、専用の電話窓口を置いています
• 同じ ID とパスワードをほかのサービスで使っている人に、パスワードの変更を呼びかけています
• メグリーでは、サービスを止めて攻撃元の IP アドレスを遮断し、データベースの接続情報やクラウドの認証情報の変更、アクセス制御の強化を行ったとしています

この事例から中小企業が学べること

• 予約サイトのような外向けのシステムと、基幹システムのつながりを確かめる：外に公開しているシステムが乗っ取られたとき、社内の顧客データまで届く経路がないかを、制作会社やシステムの担当と図にして確かめる
• 開発に使う部品の更新を続ける：Web サイトや予約システムに使っているフレームワーク・ツールの版を一覧にし、脆弱性の修正が出たら当てる体制を委託先と決める
• 加盟店・取引先・社員の情報もまとめて守る：今回の約105万アカウントには、お客さまのほか加盟院の関係者・本部の社員も含まれている。同じシステムに誰の情報が入っているかを洗い出す
• 疑いの段階で止める判断と知らせ方を決めておく：システムを止めたときの予約・受付の代わりの方法と、お客さまへの知らせ方を先に用意しておく
• 会社のアドレスで登録したサービスのパスワードを使い回さない：漏えいしたサービスと同じパスワードを、社内のメールやクラウドで使っていないかを確かめる