歯のホワイトニング「ホワイトエッセンス」に不正アクセス。約105万アカウントの個人情報が持ち出される

01発表されている事実

1. 8月5日

   外部からの不正アクセスを確認。外部の専門機関と緊急調査

2. 8月12日

   予約サイトと基幹システムを一時停止し、公表。Webサイトやアプリからの予約・変更なども停止

3. 8月19日・9月10日

   当面の施術・予約の受付状況を更新

4. 10月5日

   個人情報の持ち出しを公表。安全を確認できた範囲からサービスを再開

10月5日の発表によると、漏えいしたのは8月5日時点で登録されていた情報の全部または一部です。対象は約105万アカウントで、お客様のほか加盟院の関係者や本部の社員なども含む数です。項目は、名前、住所、電話番号、メールアドレス、生年月日、性別、勤め先、ログインIDとパスワード（暗号化された状態）、サービスの利用・対応に関する情報、同社の管理番号などです。登録内容は人によって違うため、全員にすべての項目が当てはまるわけではありません。

原因は、予約サイトのプログラムにあった脆弱性を悪用され、そこを起点に基幹システムへ入られたことだとしています。脆弱性への対処は完了済みです。金融機関の口座情報は預かっておらず、お客様の画像が漏えいした事実も確認されていないとしています。個人情報保護委員会に報告し、警察にも相談しています。

02読者への影響

名前と住所、電話番号、生年月日がそろって漏れています。同社も、同社やほかの事業者を装った不審なメール・電話・郵便物が届く可能性があるとしています。歯科の予約や通院の記録と結びついた連絡は本物らしく見えるため、注意が必要です。

パスワードは暗号化された状態ですが、ほかのサービスで同じIDとパスワードの組み合わせを使っていると、被害が広がる原因になります。同社のマイページは止まっているため、同社のサイトで今やる手続きはありません。

03今すぐやること

1. ホワイトエッセンスと同じIDとパスワードをほかのサービスで使っているなら、そちらのパスワードを変える
2. 同社は電話やメールでクレジットカード番号・暗証番号・パスワードを聞くことはないとしています。心当たりのない連絡のURLは開かず、情報も入力しない
3. 不安な人は本件専用窓口（0120-385-035、10時〜19時、平日のみ）か cust-qqsupport@whiteessence.co.jp に問い合わせる
4. マイページが再開したら、案内に沿ってパスワードを変える

04予約サイトを持つ会社が学べること

今回は、外から誰でも触れる予約サイトの弱点が、社内の基幹システムへの入口になりました。同社は再発防止として、不正な通信を見つけて止める仕組みの導入、認証方式・システム構成・権限設定の見直し、監視の強化を挙げています。自社で予約やECのサイトを持つ中小企業は、定期的な脆弱性診断と、Webサイトと社内システムの間の権限の切り分けを確かめておくと安心です。

05今後の発表

同社は、連絡先を確認できたお客様へ順次個別に連絡しているとしています。マイページの再開時には改めて案内するとしています。