ホワイトエッセンス、予約サイトの脆弱性を突かれ約105万アカウントが持ち出される

事案の概要データ

図解：この事故の構造

何が起きたのか

ホワイトエッセンスは2026年10月5日、予約サイトのプログラムの脆弱性を突かれ、約105万アカウント分の情報が持ち出されたことを公表しました。

同社は歯科医院向けに、歯のホワイトニングなどのサービスを提供するフランチャイズ事業を展開しています。予約サイトには、加盟する歯科医院を利用する患者の予約情報が集まります。

「持ち出しを確認」という表現の重さ

この事案で注意したいのが、「持ち出しを確認」という表現です。

多くの漏えい事案では「漏えいした可能性がある」「閲覧されたおそれがある」という言い方が使われます。これは、アクセスできる状態だったことは分かるが、実際にデータが外部へ出たかまでは確認できていない、という意味です。

一方「持ち出しを確認」は、実際にデータが外部へ送られた痕跡が見つかったということです。可能性ではなく事実として流出しています。対象者にとっては、より確実に自衛が必要な状況を意味します。

ニュースで件数だけを見るのではなく、この表現の違いに注目すると、事案の深刻さをより正確に読み取れます。

予約情報は「いつ・どこへ行ったか」の記録

予約サイトのデータには、氏名・連絡先に加えて、「いつ、どの店舗（医院）を予約したか」という行動の記録が含まれます。

美容・医療に関わるサービスの場合、その利用自体が本人にとって知られたくない情報であることもあります。2026年2月の穴吹ハウジングサービス（マンション管理・207,773件）と同様、「どこに行ったか・どこに住んでいるか」が分かるデータは、通常の個人情報より扱いに注意が必要です。

フランチャイズ本部として予約システムを提供している場合、加盟店の顧客データが本部に集約される構造になります。その分、本部側の責任は重くなります。

時系列で見る経過

• 2026年10月予約サイトのプログラムの脆弱性を突かれる
• 2026年10月データの持ち出しを確認し、調査を開始
• 2026年10月5日約105万アカウント分の持ち出しを確認したことを公表

中小企業が学ぶべきポイント

1. 「漏えいの可能性」と「持ち出しを確認」は意味が違う。後者は事実として流出している。
2. 予約サイトのプログラムも定期的に脆弱性診断を受ける。作りっぱなしにしない。
3. 美容・医療の予約情報は、利用の事実自体が機微な情報になりうる。
4. フランチャイズ本部が顧客データを集約する場合、本部の責任は加盟店より重い。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope