要点
発表された事実
- 株式会社ビューティガレージは2026年10月15日、ECサイトのサーバーへの不正アクセスにより、お客様情報の一部が外部に流出したことを確認したと公表した（お知らせ、お詫びPDF、適時開示）。
- 2026年10月10日から12日にかけてサーバーへの不正侵入が発生し、お客様情報の一部が取得され外部に流出した。10月13日に事象を検知し、使用された不正アクセスの経路を特定して同日中に遮断を完了した（お知らせ・お詫びPDF）。
- 漏えいが確認されたのは、2026年10月10日23時55分時点で「ビューティガレージ」「アイラッシュガレージ」のECシステムに保存されていたお客様情報775,725件。主な項目は会社名、サロン名、お客様名、営業形態、サロンURL、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値（同）。
- 住所情報・配送先情報、購入履歴、クレジットカード情報を含む決済情報の漏えいは現時点で確認されていない。不特定多数への公開や不正利用も確認されていない（同）。
- 同社は2026年2月6日に公表したクレジットカード情報漏洩懸念の調査およびクレジットカード決済再開に向けた対策を進める中で、新たな情報漏洩を招いたことを重く受け止めるとしている（お詫びPDF）。
- ECサイトをはじめ他サービスは通常どおり利用できる（適時開示）。個人情報保護委員会などの関係機関へ必要な報告・相談を進めている（同）。
- 【2026-10-20追記】同社は10月20日の第2報で、10月15日の第1報の時点で不正アクセスの経路の遮断とセキュリティ監視体制の強化などの初動対策を済ませており、「ビューティガレージ」「アイラッシュガレージ」のECサイトは通常どおり利用できると説明した。今後はセキュリティ専門会社と連携して、不正アクセスの防止・検知の強化と、侵入された場合にも被害が広がらないようにする対策を進め、個人情報の管理体制も強化するとした。個人情報保護委員会には報告済みで、同委員会から確認や指導・助言があれば対応するという（第2報）。
わかったこと
- 【2026-10-20】個人情報保護委員会への報告は済んでいる。対策はセキュリティ専門会社と連携して進める（第2報）。
わかっていないこと
- 不正アクセスが可能となった経緯・詳細な原因（経路は特定・遮断済みだが、経緯は調査中）（【2026-10-20追記】第2報でも原因や侵入経路の説明はない）
- パスワードハッシュの方式（アルゴリズム・ソルトの有無）と、再設定用質問・回答ハッシュの具体的なリスク
- 住所・配送先・購入履歴・決済情報が「未確認」から漏えいなし／ありへどう確定するか
- 2026年2月のクレジットカード情報漏洩懸念事案と、今回の経路が同じか別か
- 恒久対策の内容と、クレジットカード決済再開の進捗（【2026-10-20追記】第2報は「防止・検知のさらなる強化」「万一の侵入時にも被害の拡大を防ぐ」対策を進めるとしたが、具体的な中身は示していない。クレジットカード決済再開への言及もない）
- 二次被害・不正利用の有無（現時点では未確認）
関係しそうな既知の手口
- （考察）ECの顧客DBがまとめて持ち出され、パスワードがハッシュ付きで含まれるパターンは、国内でも繰り返し見られる。ハッシュでも弱いアルゴリズムやソルト不足ならオフライン解析の対象になる。加えて「パスワード再設定用の質問・回答のハッシュ」まで含まれている点は、アカウント復旧フローごと狙われる余地を残す（方式は未公表のため、実際に解読可能かはわからない）。
概要
- ビューティガレージ系ECのサーバーが10月10〜12日に不正侵入を受け、約77.6万件の顧客情報が流出した。
- 連絡先に加えパスワードハッシュと再設定用Q&Aのハッシュが含まれ、住所・決済情報の漏えいは現時点で未確認。
- 2月のカード情報懸念への対策中に再発したと自ら認めており、経路の切り分けと恒久対策が続報の焦点になる。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-02-06 | クレジットカード情報漏洩懸念を公表（お詫びPDFが言及。本件の前回関連事案） |
| 2026-10-10（土）23:55 | この時点のECシステム保存分が、漏えい確認件数775,725件の基準（お知らせ） |
| 2026-10-10〜12 | ECサイトのサーバーへの不正侵入。お客様情報の一部が取得され外部に流出（同） |
| 2026-10-13（火） | 事象を検知。使用された不正アクセスの経路を特定し、同日中に遮断完了（同）。適時開示も同日検知と記載 |
| 2026-10-15（水） | サイト上でお知らせ、適時開示、対象者への個別メール案内。関係機関へ報告・相談（同・適時開示） |
| 2026-10-20（火） | 第2報。初動対策は第1報の時点で完了し、ECサイトは通常どおり利用可能と説明。セキュリティ専門会社と連携した対策強化と、個人情報保護委員会へ報告済みであることを公表（第2報） |
発表内容の整理
事実（ビューティガレージの発表）
| 項目 | 内容 |
|---|---|
| 対象サービス | 「ビューティガレージ」「アイラッシュガレージ」のECシステム |
| 件数 | 775,725件（2026-10-10 23:55時点の保存分） |
| 漏えいが確認された項目 | 会社名、サロン名、お客様名、営業形態、サロンURL、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値 |
| 現時点で漏えい未確認 | 住所・配送先、購入履歴、クレジットカード情報を含む決済情報 |
| 原因 | 第三者からの不正アクセス。経緯等の詳細は調査中。使用された経路は特定し遮断済み |
| サイトの稼働 | 緊急対応後、ECサイトをはじめ他サービスは通常どおり利用可（適時開示） |
| 二次被害 | 不特定多数への公開・不正利用は確認されていない |
| 前回関連 | 2026-02-06公表のクレジットカード情報漏洩懸念への対策中に再発したと記載 |
| 問い合わせ | お客様 0120-974-554（10:00〜18:00、日祝除く）。株主・取引先等 03-6805-9785（10:00〜18:00、土日祝除く） |
考察
顧客は個人の一般消費者というより、サロン名・会社名・営業形態・サロンURLが並ぶ BtoB 寄りのEC会員構成に見える。氏名と電話・メールに加え、店舗のオンライン上の身元がセットで出ているため、取引先やサロンを装った詐欺・なりすましの材料になりやすい（考察）。
パスワードについて同社は「特殊な文字列に変換し暗号化されたパスワードであり、そのままでは読み取りできない」と説明している。ハッシュである以上、平文そのものではないが、アルゴリズムとソルト次第ではオフラインでの解析対象になる。さらに「パスワード再設定用の質問・回答のハッシュ値」まで含まれている点が、単なるログイン秘密の漏えいを超えて、アカウント復旧チャネルまで材料を渡している可能性を示す（方式未公表のため、実際の解読可否は不明）。
2月のカード情報懸念への対策中に再発した、という自己評価は重い。適時開示では経路を特定・遮断したとしつつ、経緯の究明はこれから、とも書いており、「今回使われた入り口は閉じた」と「なぜ入れたのか・他に入り口はないのか」は別問題として残る（考察）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- ECや会員DBからの認証情報漏えいでは、パスワードがハッシュで含まれていても、弱いハッシュや使い回しパスワードは二次被害につながる、というのが一般的な注意点として各社の案内でも繰り返し示されている。本件でも同社は、同一または類似パスワードを他サービスで使っている場合の変更を求めている（お知らせ）。
- 国内のEC・会員基盤の不正アクセスでは、アバハウス（会員・受注DB、記事）やミスターマックス（アプリ・オンラインストア、記事）など、顧客連絡先がまとめて対象になる事例が続いている。
考察
- 「経路を特定して遮断」は応急処置であって、原因究明の完了ではない：WAFルール追加や特定IP遮断で再発を止めたように見えても、認証情報の侵害、脆弱な管理画面、サプライチェーンなど、根本が別なら別経路で戻る。2月事案との異同が、この切り分けの鍵になる。
- 再設定用Q&Aは、現代のパスワードリセットでは避けるべき材料：秘密の質問はソーシャルエンジニアリングに弱く、ハッシュ化されていても質問文側が弱いと意味が薄い。可能なら無効化し、メール＋多要素など別チャネルに寄せるのが望ましい（一般論としての考察）。
利用者・運用者がいまできること
事実（発表に基づく）
- 同社および取引先を装ったメール・SMS・電話に注意する。氏名やサロン名を知っている相手でも、不審な連絡には応じない。
- 同社から本件対応を理由にパスワードや認証コードを尋ねることはない。振込先変更や追加支払いを求められた場合は、公式窓口に確認する。
- 同社サイトと同一または類似のパスワードを他サービスで使っている場合は変更する。
考察（利用者向け）
- パスワードを変更したうえで、メールと電話を使った「サロン向け業者」「決済代行」を名乗る連絡にも警戒する。
- 再設定用の秘密の質問を使っている他サービスがあれば、質問・回答を見直すか、別の回復手段に切り替える。
考察（運用者向け）
- 顧客DBのバックアップやレプリカ、管理用VPN、踏み台の認証を含め、2月事案と今回で経路が共有されていないか点検する。
- パスワードハッシュは強いKDF（十分なコストのメモリハードな方式など）とユニークソルトを使う。秘密の質問は保存しないか、使うならパスワードと同等以上の保護と利用率の見直しを行う。
- 大量の顧客レコード読み出しや、通常と異なる管理アカウント操作に検知を付ける。