ビューティガレージの情報漏洩｜約77万件の項目とパスワードの変え方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓ビューティガレージの情報漏洩について
✓2026年10月15日の第1報と10月20日の第2報をもとに
✓775,725件の範囲

株式会社ビューティガレージは2026年10月15日、美容サロン向けの通販サイト「ビューティガレージ」と「アイラッシュガレージ」のサーバーが10月10日から12日にかけて不正侵入を受け、お客様情報775,725件が外部に流出したと発表しました。漏れたのは会社名、サロン名、お客様名、電話番号、メールアドレス、パスワードのハッシュ値などで、住所、配送先、購入履歴、クレジットカードを含む決済情報の漏洩は確認されていません。利用者がまずすることは、同じか似たパスワードを別のサービスで使っていればそちらを変えること、そして同社や取引先を名乗る連絡で振込先の変更や追加の支払いを求められても応じないことの2つです。

この記事では、2026年10月20日時点で同社が公表している第1報と第2報だけをもとに、公表の経緯、漏れた項目と確認されていない項目、原因、会社の対応、自分が対象かどうかの確かめ方、そして今日やることを順に整理します。利用者の多くは美容室、ネイルサロン、まつげエクステのサロン、エステサロンなどを営む事業者で、個人で自宅サロンを開いている人も含まれます。サロンの経営者が気をつけるべき点にも触れます。

ビューティガレージの情報漏洩で何が起きたのか（2026年10月20日時点）

最初に、同社の発表で確定している事実を短く並べます。

第1報：2026年10月15日
第2報：2026年10月20日
不正侵入の期間：2026年10月10日から12日にかけて
検知と遮断：2026年10月13日に検知し、同日中に経路を遮断
対象：2026年10月10日23時55分時点で、「ビューティガレージ」「アイラッシュガレージ」のECシステムに保存されていたお客様情報775,725件
漏れた主な項目：会社名、サロン名、お客様名、営業形態、サロンURL、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値
確認されていないもの：住所情報・配送先情報、購入履歴、クレジットカード情報を含む決済情報
二次被害：不特定多数への公開や不正利用は確認されていない

発表の件数は「件」で示されており、人数や店舗数ではありません。1つの会社やサロンが複数の登録情報を持っている場合もあるので、775,725という数字が利用者の数とそのまま一致するとは限りません。

同社の第1報はビューティガレージの発表（PDF）で、第2報は第2報（PDF）で読めます。どちらも同社のトップページのお知らせから開けます。

今回の特徴は、漏れた情報が「サロンという事業者の情報」だという点です。会社名、サロン名、営業形態、サロンURLは、そのサロンが何をしている店なのかを表す情報です。これにお客様名、電話番号、メールアドレスがそろうと、そのサロンあての偽の連絡がとても本物らしく作れてしまいます。同社が「氏名やサロン名を知っている相手でも、不審な連絡には応じないでください」と書いているのは、この点を踏まえたものです。

公表の経緯：第1報と第2報で分かったこと

2026年10月10日から12日：不正侵入と流出

第1報によると、10月10日から12日にかけて、同社のECサイトのサーバーへの不正侵入が起き、お客様情報の一部が取得されて外部に流出しました。対象の775,725件は、10月10日23時55分の時点でECシステムに保存されていた情報です。

2026年10月13日：検知と遮断

同社は10月13日に事象を検知し、使われた不正アクセスの経路を特定して、その日のうちに遮断を終えています。不正侵入が始まってから検知までは、発表の日付から数えると数日です。

2026年10月15日：第1報の公表と個別の案内

10月15日に第1報を公表し、同時に対象のお客様へメールで個別に案内を送ったとしています。個人情報保護委員会などの関係機関への報告・相談も進めると書かれています。個人情報保護委員会とは、個人情報の扱いについて事業者を監督する国の機関です。

第1報には、同社が2026年2月6日にクレジットカード情報の漏洩の懸念を公表しており、その調査とカード決済の再開に向けた対策を進める中で今回の件が起きた、という説明もあります。2月の件と今回の件は別の事案として扱われています。

2026年10月20日：第2報で、ECサイトは通常どおり利用できると発表

第2報では、第1報の時点で不正アクセスの経路の遮断とセキュリティ監視体制の強化など、不正利用を防ぐための初動の対策を終えていたことが説明されています。そのうえで、「ビューティガレージ」「アイラッシュガレージ」のECサイトは現在、通常どおり利用できるとしています。

今後については、セキュリティ専門会社と連携して不正アクセスの防止と検知を強化し、万一侵入されたときにも被害が広がらないような対策を進めること、個人情報の管理体制を強化することが書かれています。個人情報保護委員会への報告は済ませており、委員会から確認や指導・助言があれば適切に対応するとしています。

第2報には、件数や漏れた項目の変更は書かれていません。2026年10月20日時点では、第1報の775,725件と項目がそのまま最新の情報です。

漏れた項目と、確認されていない項目

第1報に書かれた項目を、そのまま表にしました。

区分	項目
漏れた項目	会社名、サロン名、お客様名、営業形態、サロンURL
漏れた項目	電話番号、メールアドレス
漏れた項目	パスワードのハッシュ値
漏れた項目	パスワード再設定用の質問・回答のハッシュ値
漏洩は確認されていない	住所情報、配送先情報
漏洩は確認されていない	購入履歴
漏洩は確認されていない	クレジットカード情報を含む決済情報

確認されていない項目について、第1報は「漏洩は確認されていません」という書き方をしています。「含まれない」と言い切った表現ではない点に注意してください。今後の調査で変わる可能性もゼロではないので、第3報以降が出た場合は内容を確かめてください。

パスワードのハッシュ値とは

ハッシュ値とは、パスワードをそのまま保存せず、特殊な文字列に変換した値のことです。第1報も「特殊な文字列に変換し暗号化されたパスワードであり、そのままでは読み取りできない情報です」と説明しています。

ただし一般に、短いパスワードや、辞書に載っている言葉や誕生日を使った単純なパスワードは、総当たりで元の文字を割り出される場合があるとされています。同社がパスワードの変更を求めているのは、この可能性に備えるためと読めます。

パスワード再設定用の質問と回答のハッシュ値

パスワード再設定用の質問とは、パスワードを忘れたときに本人かどうかを確かめるための「秘密の質問」のことです。今回は質問と回答の両方のハッシュ値が漏れています。回答もハッシュ化されていますが、「好きな色」「ペットの名前」のように答えの候補が少ない質問は、推測されやすい部類に入ります。同じ質問と答えを別のサービスでも使っている場合は、そちらも見直しておくと安心です。

サロンURLと営業形態が漏れることの意味

サロンURLとは、サロンのホームページや予約ページのアドレスのことです。営業形態は、美容室なのか、ネイルなのか、まつげエクステなのかといった店の種類を表す情報と読めます。これらは一般に公開している情報であることも多いのですが、お客様名、電話番号、メールアドレスと結び付いた形で漏れていることが問題です。「どのサロンの、誰に、どの番号で連絡すればよいか」が一覧になってしまうため、サロンを狙った営業電話や詐欺の連絡に使われるおそれがあります。

原因：ECサイトのサーバーへの不正侵入

第1報が明らかにしている原因は「当社ECサイトのサーバーへの不正アクセスによる攻撃」です。どのような手口で侵入されたのか、どの仕組みに弱点があったのかは、2026年10月20日時点の第1報と第2報には書かれていません。

分かっていることを整理すると、次のとおりです。

不正侵入の対象は、ECサイトのサーバー
10月10日から12日にかけて侵入があり、お客様情報の一部が取得されて外部に流出した
10月13日に検知し、使われた経路を特定して同日中に遮断した
第2報の時点で、初動の対策は完了している

原因の詳しい説明が無いため、「この時期に買い物をした人だけが対象」といった絞り込みは、利用者の側ではできません。対象は、10月10日23時55分の時点でECシステムに保存されていた情報です。最近は買い物をしていなくても、以前に会員登録をしていれば対象になりうると考えておくのが安全です。

2月から続くクレジットカード決済の停止との関係

今回の件を理解するうえで、同社が2026年2月から別の問題を抱えていることも知っておく必要があります。第1報は、2026年2月6日にクレジットカード情報の漏洩の懸念を公表し、その調査とカード決済の再開に向けた対策を進める中で今回の件が起きたと説明しています。

この2月の件について、同社は2026年8月19日に「クレジットカード決済停止に関する現在の状況について（第6報）」を出しています。第6報によると、外部の専門機関による調査を続けてきたものの、その時点で事実関係の明確な特定には至っておらず、新たな外部の専門機関に再調査を依頼して2026年8月12日から調査を始めたとしています。調査の結果、カード情報を含む個人情報の漏洩が確認された場合には、対象のお客様に個別に連絡するとも書かれています。ECサイトでのクレジットカード決済は止まったままで、再開は調査の完了後、システムの改修と再発防止の措置を講じてからになる見込みとされています。

つまり、10月の不正侵入は、カード決済を止めている最中に起きた別の事案です。10月の件では決済情報の漏洩は確認されていませんが、2月の件の調査はまだ続いています。第6報は、過去に同社のECサイトでクレジットカード決済を使ったことがあるお客様に、念のためカード会社の利用明細を確かめ、身に覚えのない請求があればカード発行会社へ連絡するよう求めています。

したがって、過去に同社のサイトでカードを使ったことがある人は、10月の件とは別に、カードの利用明細を確かめておくのが確実です。カードを使ったことがなく、10月の件だけが関係する人は、カードについては発表の内容からは特別な手続きを求められていません。2月の件の続報は、同社のトップページのお知らせから「これまでのお知らせ一覧」で確認できます。

会社の対応：個別のメール、報告、セキュリティの強化

第1報と第2報に書かれている会社の対応は次のとおりです。発表に無いことは書いていません。

2026年10月13日に検知し、不正アクセスの経路を特定して同日中に遮断
サイトで公表し、対象のお客様へメールで個別に案内
個人情報保護委員会などの関係機関へ報告・相談
セキュリティ監視体制の強化など、不正利用を防ぐための初動の対策を完了（第2報）
セキュリティ専門会社と連携した対策と、個人情報の管理体制の強化（第2報）

2026年10月20日時点の発表には、利用者全員のパスワードの一斉の初期化、補償、お詫びの品についての記載はありません。同社が利用者に求めているのは、同じか似たパスワードを使っている他のサービスのパスワードの変更と、偽の連絡への注意です。「お詫びのクーポンを差し上げます」「補償の手続きはこちら」といった連絡が届いた場合は、発表に無い内容なので、まず偽物を疑ってください。

同社は、本件への対応を理由にパスワードや認証コードを尋ねることはないと明記しています。

当社から、本件への対応を理由にパスワードや認証コードをお尋ねすることはありません。振込先の変更や追加の支払い等の不審な対応を求められた場合は、普段ご利用の当社公式窓口にご確認ください。出典: beautygarage.co.jp

自分が対象かを確かめる方法

対象かどうかを確かめる手段は、同社からの個別のメールと、問い合わせ窓口の2つです。2026年10月20日時点で、会員ページにログインして照会するような仕組みは発表されていません。

1. 登録しているメールアドレスの受信箱を確かめる

同社は、対象のお客様へメールで個別に案内を送ったとしています。ビューティガレージやアイラッシュガレージに登録したメールアドレスの受信箱を、迷惑メールのフォルダも含めて確かめてください。サロンの代表アドレスで登録しているのか、経営者個人のアドレスで登録しているのかも思い出しておくと、探しやすくなります。

案内のメールを装った偽のメールが届くおそれもあります。メールが届いたら、本文のリンクからログインするのではなく、ブラウザのお気に入りや、自分で入力したアドレスからサイトを開いてください。

2. メールが見当たらない場合は窓口に問い合わせる

心当たりがあるのにメールが見当たらない場合は、同社のお客様向けの窓口に問い合わせるのが確実です。番号は後の「問い合わせ窓口」の節にまとめました。

3. スタッフや前の経営者が登録していた場合

サロンでは、スタッフが店の名前で会員登録をしていたり、前の経営者の名前のまま登録が残っていたりすることがあります。お客様名として漏れているのが、今の経営者ではなくスタッフや前の経営者の名前という場合もありえます。店として登録した覚えがあるなら、登録したスタッフにも確かめてください。退職したスタッフのメールアドレスで登録していた場合は、案内のメールがそのスタッフにしか届いていない可能性もあります。

自分のメールアドレスが過去にほかの漏えいに含まれていないかを確かめたいときは、海外の無料サイトでメールアドレスを照合する方法もあります。手順はHave I Been Pwnedの使い方で説明しています。ただし、今回の件がそのサイトに登録されているかどうかは分かりません。今回の件は、同社からのメールと窓口で確かめてください。

利用者がすること：パスワード、使い回し、二段階認証

漏れた項目に合わせて、やることを絞りました。今回は住所、購入履歴、決済情報の漏洩が確認されていないので、カードの再発行のような大きな手続きは、発表の内容からは求められていません。

同じか似たパスワードを使っている別のサービスを先に変える

同社が求めているのは「当社サイトと同一または類似のパスワードを他のサービスで使用している場合は、パスワードのご変更」です。ここで大事なのは「類似」という言葉です。たとえば末尾の数字だけを変えて使い回している場合も、似たパスワードに当たります。

メールアドレスとパスワードの組み合わせが知られると、ほかのサービスに順番に試される「リスト型攻撃」の対象になります。個人情報保護委員会も、不正アクセスによる漏えいの原因として、何らかの方法で入手したIDとパスワードのリストで不正ログインを試す手口が多いと説明しています。サロンの予約システム、ホームページの管理画面、SNSのアカウント、ネット銀行など、乗っ取られると営業に響くサービスから順に変えてください。

ビューティガレージのパスワードも変えておく

同社のサイトのパスワードそのものについて、第1報と第2報は一斉の初期化を発表していません。ハッシュ化されているとはいえ漏れた対象に入っているので、同社のサイトにログインできる人は、この機会に新しいパスワードへ変えておくと安心です。ログインするときは、メールのリンクではなく、自分で開いたサイトから操作してください。

新しいパスワードは、サービスごとに別のものにします。覚えきれない場合は、ブラウザやスマートフォンのパスワードの保存機能や、パスワード管理アプリを使うと、使い回しをせずに済みます。

秘密の質問の答えを見直す

パスワード再設定用の質問と回答のハッシュ値が漏れているので、同じ質問と答えを別のサービスでも使っている場合は、そちらの答えを変えておきます。秘密の質問の答えは、本当のことを書く必要はありません。推測されにくい答えにして、パスワードと同じように保存しておく方法があります。

二段階認証を設定する

メール、予約システム、SNS、ネット銀行には、二段階認証を設定しておきます。二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどを入力しないとログインできないようにする仕組みです。パスワードが知られても、それだけではログインされにくくなります。種類と選び方はMFA（多要素認証）導入のメリットと製品比較で説明しています。

なお、同社は認証コードを尋ねることはないとしています。二段階認証の確認コードを電話やメールで聞かれたら、その時点で偽物です。

サロンを狙う偽の連絡と、振込先変更の詐欺の見分け方

今回の漏洩で一番気をつけたいのは、同社や取引先を名乗る連絡です。会社名、サロン名、お客様名、営業形態、電話番号、メールアドレスがそろっているので、「○○サロン様、いつもビューティガレージをご利用いただきありがとうございます」といった、本物と見分けにくい連絡が作れてしまいます。

同社が名指しで注意を呼びかけている手口

第1報が具体的に挙げているのは、次のような連絡です。

同社や取引先を装ったメール、SMS、電話
本件への対応を理由に、パスワードや認証コードを尋ねる連絡
振込先の変更や追加の支払いを求める連絡

振込先の変更を求める手口は、取引先を装って「口座が変わりました」と伝え、偽の口座に振り込ませる詐欺として一般に知られているものです。サロンが同社から商品を仕入れて代金を振り込んでいる場合、「今回の件で口座を変更しました」という連絡が来ると信じてしまいやすくなります。こうした連絡が来たら、そのメールや電話で示された番号ではなく、普段使っている同社の公式窓口に確かめてください。

本物かどうかを判断するときの基準

パスワードや認証コードを聞いてきたら偽物（同社は聞かないと発表している）
振込先の変更や追加の支払いは、普段の公式窓口で確かめるまで応じない
メールやSMSのリンクからログインしない
サロン名や担当者名が正しく書かれていても、それだけで本物と判断しない
電話で情報を聞かれたら、一度切って、公式サイトに載っている番号にかけ直す

スタッフ全員で共有しておく

サロンでは、電話やメールを受けるのが経営者とは限りません。受付のスタッフが「ビューティガレージですが、会員情報の確認のため」と言われて、店の情報を答えてしまうこともありえます。今回の件と、同社がパスワードや認証コードを尋ねないことを、スタッフ全員に伝えておいてください。

受付で使える対応を1つ決めておくと、迷わずに済みます。たとえば「担当者から折り返します」とだけ伝えて相手の名前と用件を聞き、電話を切ったあとで、同社の公式サイトに載っている番号にかけ直して事実を確かめる、という流れです。その場で店の情報やログインの情報を答えない、振り込みの話にはその場で応じない、という2点をスタッフの間でそろえておけば、名指しの偽の電話にも落ち着いて対応できます。

偽のメールの典型的な文面や、受け取ったときの対応の練習方法は、フィッシングメール模擬訓練の効果で紹介しています。会社向けの記事ですが、スタッフのいるサロンでもそのまま使える考え方です。

漏れた項目ごとに、起こりやすいことと備え

漏れた項目ごとに、一般に起こりやすいことと備えを整理しました。ここでの「起こりやすいこと」は今回の件で実際に起きたことではなく、同じ種類の情報が漏れたときに一般に注意が呼びかけられている内容です。同社は発表の時点で不正利用を確認していません。

漏れた項目	一般に起こりやすいこと	備え
メールアドレス	同社や取引先を名乗る偽のメール	リンクを開かず、自分で開いたサイトから操作する
電話番号	偽のSMS、勧誘や詐欺の電話	一度切って、公式の番号にかけ直す
会社名・サロン名・お客様名	名指しで本物らしく見せる連絡	名前が正しくても、求められている内容で判断する
営業形態・サロンURL	業種に合わせた営業電話、偽の取引の持ちかけ	新しい取引先からの持ちかけは公式の情報で裏を取る
パスワードのハッシュ値	同じパスワードを使う別サービスへの不正ログインの試み	同じか似たパスワードを使う別サービスを先に変える
再設定用の質問・回答のハッシュ値	秘密の質問の答えの推測	同じ質問と答えを使う別サービスの設定を見直す

問い合わせ窓口

第1報と第2報に載っている問い合わせ先は次のとおりです。利用者向けと、株主・取引先向けで番号が分かれています。

当社サービスを利用しているお客様の問い合わせ

電話番号：0120-974-554
受付時間：10時から18時（日曜・祝日を除く）

株主・取引先その他の問い合わせ

電話番号：03-6805-9785
受付時間：10時から18時（土曜・日曜・祝日を除く）

お客様向けの窓口は土曜も受け付けていますが、株主・取引先向けの窓口は土曜を除くと書かれています。サロンとして通販を使っている人はお客様向けの番号に、同社と取引関係のある会社は取引先向けの番号に問い合わせます。

これらの番号は同社の公式発表に書かれているものです。メールやSMSに別の番号が書かれていた場合は、その番号にかけず、発表の番号と同じかどうかを確かめてください。

事業者の対応に疑問があるときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849）にも相談できます。委員会のサイトに番号が載っています。ただし、自分が対象かどうかの確認は、まず同社の窓口にしてください。

自宅サロンや個人で施術をする人が気をつけること

ビューティガレージの利用者には、自宅でネイルやまつげエクステのサロンを開いている人や、出張で施術をしている人など、個人で事業をしている人も多くいます。在宅で仕事をしている人の立場から、考えておくことを整理します。

サロンの顧客の情報は漏れていないか

発表に挙がっている項目は、会社名、サロン名、お客様名など、サロンが同社に登録した情報です。サロンに通う顧客の名簿にあたる項目は、発表には挙がっていません。ただし、配送先にお客様の住所を登録して直送していたような使い方をしていた場合は、配送先情報の漏洩は確認されていないとされているものの、念のため窓口で確かめると安心です。

自分のアカウントが乗っ取られると、顧客の情報が危うくなる

注意が必要なのは、使い回していたパスワードから、サロンの予約システムや顧客管理のアプリ、SNSのアカウントに不正にログインされた場合です。予約システムには顧客の氏名、電話番号、来店の履歴が保存されています。SNSのダイレクトメッセージには、顧客とのやり取りが残っています。ここに入られると、今度はサロンが顧客の個人情報を漏らした側になってしまいます。

個人情報保護委員会は、事業者が個人データを漏えいさせ、次の4つのどれかに当たる場合には、委員会への報告が義務になると説明しています。

要配慮個人情報（病歴など、取り扱いに特に配慮が必要な情報）が含まれる場合
不正に使われると財産的な被害が出るおそれがある場合
不正アクセスのように、不正の目的で行われたおそれがある場合
漏えいした本人の数が1,000人を超える場合

詳しくは個人情報保護委員会の漏えい等の対応のページに例とともに載っています。今回のビューティガレージの件で報告と本人への連絡をするのは、情報を持っていた同社です。サロンが自分の情報を登録していただけであれば、サロンの側に報告の義務が生じるわけではありません。一方で、サロン自身のアカウントが不正アクセスを受けて顧客の情報が漏れた場合は、サロンが対応する側になります。肌の状態やアレルギーなど健康に関わる情報をカルテに残している場合、どこまでが要配慮個人情報に当たるかは扱っている情報によって変わるので、委員会の窓口や専門家に確認してください。

取引先に知らせる必要はあるか

同社から仕入れた商品を別のサロンに卸している、または同社と取引のある会社とやり取りしている場合は、偽の連絡に注意するよう相手に一言伝えておくと、振込先変更の詐欺を防ぐ助けになります。これは法律上の義務というより、取引を守るための連絡です。

委員会は、クラウドサービスやテレワークの環境で起きた漏えいの事例をまとめた注意喚起の資料（PDF）も公開しています。ログインの認証が不十分だったために不正にログインされた事例などが紹介されており、予約システムやクラウドの顧客台帳を使っているサロンが自分の環境を点検するときの参考になります。

運営者の視点：仕入れ先の漏えいは、自分の店の守りを見直す機会

フリーランスや在宅ワークの仲介を長く続けてきた運営者として見てきた限りでは、個人で事業をしている人ほど、仕入れや予約、集客のために多くのサービスに登録しています。そして、それらのパスワードを1つか2つで済ませていることが少なくありません。仕入れ先の漏えいそのものは自分ではどうにもできませんが、そこから自分の店のアカウントに被害を広げないことは、今日からできます。

今回の件は、決済情報や住所の漏洩が確認されていない事案です。それでも、サロン名や担当者名を名指しした偽の連絡は、忙しい営業時間中に届くと見抜きにくいものです。パスワードの使い回しをやめ、振込先の変更は必ず公式の窓口で確かめる、という2つの決まりを店の中で共有しておくと、次に別の仕入れ先で漏えいが起きたときにも慌てずに済みます。

在宅ワークの仲介サイトである@SOHOでも、仕事の依頼や支払いのやり取りを直接行う以上、アカウントと連絡の真偽を確かめる習慣は仕事の基本です。セキュリティの知識は自分の店を守るだけでなく、仕事の幅を広げる材料にもなります。AI・マーケティング・セキュリティのお仕事では、セキュリティやWeb集客の知識を生かせる在宅の仕事を紹介しています。顧客や取引先への案内文を正確に書く力を身につけたい人には、ビジネス文書検定も参考になります。