ホワイトエッセンスの情報漏えい｜約105万アカウントの範囲とパスワードの変え方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓ホワイトエッセンスの情報漏えいを公式発表で整理
✓予約サイトと基幹システムへの不正アクセスで約105万アカウントの氏名・住所・電話番号・暗号化されたパスワードなどの漏えいを公表
✓問い合わせ窓口を解説します

ホワイトエッセンス株式会社は2026年10月5日、同社が運営する予約サイトと基幹システムが第三者の不正アクセスを受け、約105万アカウントの個人情報が外部に持ち出されたと発表しました。名前、住所、電話番号、メールアドレス、生年月日、性別、勤め先、ログインIDと暗号化された状態のパスワードなどが、利用者ごとに全部または一部含まれます。ホワイトエッセンスで予約したことがある人がまずすることは、同じログインIDとパスワードの組み合わせをほかのサービスで使っていないかを確かめ、使っていればそちらのパスワードを変えることです。あわせて、ホワイトエッセンスや加盟院を名乗る不審なメール、電話、郵便物に注意してください。

この記事では、2026年10月5日の発表と、8月12日のシステム一時停止のお知らせ（8月19日と9月10日に一部更新）をもとに、2026年10月20日時点で分かっていることと分かっていないこと、自分が対象かの確かめ方、パスワードの扱い方、偽の連絡の見分け方を整理します。同社の発表は文章が画像の形で載っているため、画像の中の文言を読み取って確かめています。

ホワイトエッセンスの情報漏えいの要点（2026年10月20日時点）

最初に、発表の中身を短く整理します。

対象は、ホワイトエッセンスが運営する予約サイトと基幹システム
2026年8月5日に外部からの不正アクセスを確認し、8月12日にシステムを一時停止
外部の専門機関による調査を続けた結果、利用者の個人情報が外部に持ち出されていたことが判明
対象者数は約105万アカウント。利用者のほか、加盟院の関係者や本部の社員などを含む全体の数
漏えいしたのは、2026年8月5日時点で登録されていた情報のうち、名前、住所、電話番号、メールアドレス、生年月日、性別、勤め先、ログインIDおよびパスワード（暗号化された状態）、サービスの利用・対応に関する情報、同社の管理番号などの全部または一部
金融機関の口座情報は預かっておらず漏えいしていない。利用者の画像が漏えいした事実も確認されていない
発表の日の時点で、この件が原因の二次被害は確認されていない
脆弱性への対処を済ませ、安全を確認できた範囲からサービスを再開している。マイページの機能は停止中

ホワイトエッセンスは、加盟する歯科医院を通じて歯のホワイトニングなどのサービスを提供している会社で、同社のお知らせには、各地の加盟院の開院の案内が並んでいます。予約サイトで来院の予約をした人、加盟院で同社のサービスを受けた人は、今回の約105万アカウントに入っている可能性があります。

注意したいのは、漏れた項目の中に「ログインIDおよびパスワード（暗号化された状態）」が入っていることです。暗号化されていても、パスワードに関わる情報が外に出たことに変わりはありません。同じIDとパスワードをほかのサービスで使い回していると、被害がそちらに広がるおそれがあります。同社もこの点を、利用者へのお願いの最初に挙げています。

公表の経緯：8月12日の一時停止から10月5日の発表まで

ホワイトエッセンスの発表は、8月の一時停止のお知らせと、10月の漏えいのお知らせの2本です。日付の順に並べます。

日付	出来事・発表の内容
2026年8月5日	同社のシステムに対する外部からの不正アクセスを確認。外部のセキュリティ専門機関と連携して緊急調査
2026年8月12日	予約サイトと基幹システムを一時停止し、ウェブサイトで告知。対象の情報には登録情報（氏名、連絡先、予約履歴など）が含まれるが、具体的な項目は調査中と発表
2026年8月19日	一時停止のお知らせを一部更新（当面の受付の状況を追加）
2026年9月10日	一時停止のお知らせを一部更新（受付の状況と問い合わせ窓口を更新）
2026年10月5日	「不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」を公表。約105万アカウントの漏えいと、漏れた項目、原因、対応を発表

8月12日の時点では、流出の有無も含めて調査中とされていました。そのお知らせで、同社はすでに、ほかのサービスで同じIDとパスワードを使っている場合はそちらのパスワードを変えるよう勧めています。10月5日の発表は、その調査の結果として「お客様の個人情報が外部に持ち出されていたことが判明いたしました」と書いています。

8月5日の確認から10月5日の発表まで、約2か月の調査期間があったことになります。不正アクセスの調査では、どの情報がいつ持ち出されたのかを、システムに残った記録をさかのぼって調べる必要があり、外部の専門機関に依頼するのが一般的です。同社の8月のお知らせにも、外部の専門機関（デジタルフォレンジック業者）や弁護士、警察などへの報告・相談を進めていると書かれています。デジタルフォレンジックとは、パソコンやサーバーに残った記録を調べて、何が起きたのかを明らかにする調査のことです。

2026年10月20日時点で、同社のお知らせの一覧には、10月5日の発表より後の続報は出ていません。発表の全文はホワイトエッセンスの10月5日のお知らせで読めます。8月のお知らせはシステム一時停止のお知らせで読めます。

漏れた項目と、漏えいしていないと明記された項目

10月5日の発表に書かれている内容を表にしました。

区分	項目
漏えいした情報（全部または一部）	名前、住所、電話番号、メールアドレス、生年月日、性別、勤め先、ログインIDおよびパスワード（暗号化された状態）、サービスの利用・対応に関する情報、同社の管理番号など
対象となる時点	2026年8月5日時点で登録されていた情報
対象者数	約105万アカウント（利用者のほか、加盟院の関係者・本部の社員などを含む全体の数）

次に、漏えいしていない、または漏えいが確認されていないと明記された項目です。

項目	発表での扱い
金融機関の口座情報	預かっておらず、漏えいしていない
利用者の画像	漏えいした事実は確認されていない

発表は「ご登録の内容はお客様ごとに異なりますので、すべてのお客様について、以下の項目のすべてが該当するものではございません」と書いています。勤め先を登録していない人は勤め先は含まれず、登録した項目だけが対象になる、という意味です。

「サービスの利用・対応に関する情報」が具体的に何を指すのかは、発表には書かれていません。8月のお知らせでは、対象の情報に「予約履歴等」が含まれると書かれていました。いつ、どの加盟院を予約したか、といった情報が含まれる可能性はありますが、範囲はこの言葉以上には説明されていません。この記事でも、それ以上の推測はしません。

また発表には「上記の項目以外の情報が漏えいしたお客様には個別にご連絡をさせていただいております」とあります。表の項目以外の情報が漏れた人には、会社から個別に連絡が届く、ということです。クレジットカード情報について、10月5日の発表には記載がありません。

約105万アカウントの中身：利用者だけの数ではない

発表の対象者数には「お客様のほか、加盟院関係者・本部社員等を含む全体数」という注記が付いています。約105万アカウントは、利用者の数だけを数えたものではない、という意味です。

この注記から読み取れることが2つあります。1つは、利用者の数そのものは約105万より少ない可能性があることです。どれだけが利用者で、どれだけが加盟院の関係者や社員なのかの内訳は、発表には書かれていません。もう1つは、加盟院で働く人や、同社の社員も漏えいの対象に入っているということです。加盟院の歯科医院で受付や施術に関わっている人は、利用者と同じように、自分の情報が漏れた前提で備える必要があります。

数え方が「人」ではなく「アカウント」になっている点にも注意してください。1人が複数のアカウントを作っていれば、その分だけ数えられている可能性があります。逆に言えば、昔作ったアカウントを忘れて、新しく作り直した人は、古いアカウントの情報も対象に入っているかもしれません。古いアカウントに登録したメールアドレスや電話番号を今は使っていないと、会社からの個別の連絡が届かないこともありえます。

家族で同じサービスを使っている場合は、家族それぞれのアカウントが対象になります。特に、高齢の家族や、学生の子どもが自分のアカウントで予約していた場合は、偽の電話やメールへの備えを家族の中で共有しておくと安心です。

「暗号化された状態のパスワード」は安全なのか

漏れた項目に「パスワード（暗号化された状態）」とあるのを見て、どこまで心配すべきか迷う人は多いはずです。

暗号化とは、情報をそのままでは読めない形に変えて保存することです。パスワードが「password123」のような文字のまま保存されていれば、漏れた時点でそのまま使われてしまいますが、暗号化されていれば、外に出たデータを見ても元のパスワードはすぐには分かりません。発表がわざわざ「暗号化された状態」と書いているのは、この点を伝えるためです。

ただし、暗号化の方式や強さは、発表には書かれていません。一般に、短いパスワードや、誕生日や単純な単語を使ったパスワードは、時間をかけて試されると元に戻されてしまう場合があります。暗号化されていれば絶対に安全、とは言い切れないということです。

同社が利用者に、ほかのサービスで同じログインIDとパスワードの組み合わせを使っている場合はそちらを変えるよう求めているのも、この点を踏まえたものです。

他のサービスで弊社と同じログインIDとパスワードの組合せをご利用の場合には、被害が他のサービスに広がる原因となりますため、そちらのパスワードのご変更をお願い申し上げます。出典: whiteessence.com

考え方を整理すると、ホワイトエッセンスのパスワードそのものよりも、同じパスワードを使っているほかのサービスの方が危ない、ということです。漏れたデータから元のパスワードを割り出されると、同じIDやメールアドレスで、ネット通販、メール、SNSなどにログインを試されるおそれがあります。この手口を、手に入れたIDとパスワードの組み合わせをリストにして片っ端から試すことから、リスト型攻撃と呼びます。

原因：予約サイトのプログラムの脆弱性を起点にした不正アクセス

原因について、10月5日の発表は「弊社が運営する予約サイトのプログラムに存在した脆弱性を悪用され、これを起点として、弊社の基幹システムに不正アクセスされたことによるものです」と書いています。

脆弱性とは、プログラムや設定の中にある、悪用されると不正な操作を許してしまう弱点のことです。基幹システムとは、会社の業務の中心になるシステムで、ここでは顧客や予約の情報をまとめて管理している仕組みと考えられます。つまり、外から誰でも触れる予約サイトの弱点を入口にされ、そこから会社の中の大事なシステムにまで入り込まれた、という説明です。

どんな種類の脆弱性だったのか、予約サイトのどの機能に弱点があったのかは、発表には書かれていません。同社は、この脆弱性について、専門家の助言と指導のもとで、すでに対処を完了したとしています。

8月のお知らせには、調査の段階で「第三者による不正な操作およびセキュリティ上のリスク」が認められたとも書かれていました。10月の発表の経緯の欄でも、外部の専門機関の調査で、システムの一部に不正な操作とセキュリティ上のリスクが確認されたと説明されています。

同じ時期には、ほかの会社でも予約サイトや会員サイトの弱点を入口にした不正アクセスが相次いで発表されています。ただ、ホワイトエッセンスの発表は、ほかの会社の事案や外部の委託先との関係には触れていません。この記事でも、この件は同社の発表の範囲だけで扱います。

会社の対応：システムの停止、再発防止策、個別の連絡

10月5日の発表に書かれている会社の対応は次のとおりです。

2026年8月12日にシステムを一時停止し、ウェブサイトで告知
脆弱性への対処と必要な措置を講じ、外部の専門機関の確認を経たうえで、安全を確認できた範囲からサービスを再開
悪用された脆弱性への対処を完了し、不正な通信を検知・遮断する仕組みを導入
認証方式の見直し、システムの構成と権限の設定の見直し、監視体制の強化を含む再発防止策に順次取り組んでいる
個人情報保護委員会へ報告し、警察にも相談
連絡先を確認できた利用者へ、順次、個別に連絡
表の項目以外の情報が漏えいした利用者には、個別に連絡

認証方式とは、ログインのときに本人かどうかを確かめる方法のことです。今後、ログインの仕組みが変わる可能性がありますが、どう変わるのかは発表には書かれていません。

発表に書かれていないこともあります。お詫びの品や補償についての記載はありません。会社の側で全員のパスワードを初期化したという記載もありません。マイページの機能は停止中で、再開のときに改めて案内するとされています。

会社が個人情報保護委員会へ報告し、本人へ知らせるのは、法律で決まった手順です。個人情報保護委員会は個人情報の扱いを監督する国の機関で、漏えいした本人の数が1,000人を超える場合や、不正アクセスのように不正な目的で行われたおそれがある場合などは、会社に報告と本人への通知が義務づけられています。決まりの中身は個人情報保護委員会の漏えい等の対応のページで確かめられます。

自分が対象かを確かめる方法

1. 会社からの個別の連絡を確かめる

同社は、連絡先を確認できた利用者へ順次、個別に連絡しているとしています。予約サイトに登録したメールアドレスの受信箱と迷惑メールのフォルダ、登録した電話番号へのSMS、自宅への郵便物を確かめてください。どの手段で連絡するのかは、発表には書かれていません。

2. 2026年8月5日時点で登録があったかを思い出す

漏えいの対象は、2026年8月5日時点で登録されていた情報です。それより前に予約サイトに登録したことがあれば、対象に入っている可能性があります。何年も前に一度だけ予約した人も、登録が残っていれば含まれると考えて動く方が安全です。

3. はっきりしないときは専用窓口で確かめる

自分が対象か、どの項目が漏れたかを確かめたいときは、後の節にある本件専用の窓口に問い合わせます。予約サイトに登録したメールアドレスや名前を伝えると、照合してもらいやすくなります。

4. 同じメールアドレスがほかの漏えいに含まれていないか調べる

予約サイトに登録したメールアドレスを、ほかのサービスでも使っている人は、過去の別の漏えいに含まれていないかも調べておくと安心です。調べ方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で、画面の順に説明しています。国内の漏えいは載らないことが多いので、出てこないことが漏れていない証明にはならない点に注意してください。

5. 加盟院で働いている人は、勤め先にも確かめる

加盟院の関係者も対象者数に含まれているので、加盟院の歯科医院で働いている人は、自分の情報が対象かを勤め先の歯科医院にも確かめてください。業務でホワイトエッセンスのシステムにログインしていた人は、そのログインIDとパスワードをほかのサービスで使っていないかを見直し、使っていればそちらを変えます。業務用のアカウントの扱いは、勤め先と同社の案内に従ってください。

パスワードの変え方：いま変えるのは、ほかのサービスの方

発表は「弊社サービスにつきましては、現在マイページ機能を停止しておりますため、お客様にお手続きいただく必要はございません」としています。ホワイトエッセンスの予約サイトのパスワードを、利用者がいま変える必要はなく、変える画面も使えない状態です。マイページを再開するときに、改めて案内があるとされています。

いま利用者がするべきことは、ほかのサービスのパスワードの見直しです。手順を順に書きます。

1. 同じIDやメールアドレスで登録しているサービスを書き出す

予約サイトに登録したログインIDやメールアドレスで、ほかにどのサービスに登録しているかを書き出します。ネット通販、メール、SNS、ポイントサービス、ネットバンクなど、思い当たるものを並べます。ブラウザやスマートフォンに保存したパスワードの一覧を開くと、思い出しやすくなります。

2. 同じパスワードを使っているサービスから変える

書き出したサービスのうち、予約サイトと同じパスワードを使っているものを、お金に関わるもの（ネットバンク、カード会社、ネット通販）、メール、SNSの順に変えていきます。メールのパスワードを早めに変えるのは、メールを乗っ取られると、ほかのサービスのパスワードの再設定まで第三者にされてしまうからです。

3. 新しいパスワードはサービスごとに別にする

新しいパスワードは、ほかのサービスで使っていない、長い文字列にします。覚えきれない場合は、パスワード管理アプリを使うと、サービスごとに別々の長いパスワードを作って保存できます。

4. 二段階認証を設定する

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなど、もう1つの手段で本人かを確かめる仕組みです。パスワードが割り出されても、それだけではログインできなくなります。仕組みと選び方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理しています。

5. マイページが再開したら、予約サイトのパスワードも変える

マイページの再開の案内が届いたら、案内に従って予約サイトのパスワードも新しいものに変えておくと安心です。案内のメールのリンクを使う前に、送信元や行き先が公式のものかを確かめ、できれば公式サイトを自分で開いて手続きしてください。

偽のメール・電話・郵便物の見分け方

10月5日の発表は、漏えいした情報に名前と連絡先が含まれることから、同社や他の事業者を装った不審なメール、電話、郵便物が届く可能性があると注意を呼びかけています。そのうえで、次のように明記しています。

同社から、電話やメールでクレジットカード番号、暗証番号、パスワードなどを尋ねることは一切ない
心当たりのない連絡は、記載されたURLを開いたり、情報を入力したりしないでほしい

「ホワイトニング」「予約」を口実にした連絡に注意する

漏れた情報には、サービスの利用・対応に関する情報も含まれます。「次回のご予約の確認です」「ホワイトニングのキャンペーンのご案内です」「お詫びとしてクーポンを差し上げます」のように、同社のサービスの利用者だと知っている前提の連絡は、本物らしく見えます。こうした連絡でリンクを押させたり、カード番号を入力させたりするものは疑ってかかってください。同社の発表には、お詫びのクーポンや補償の手続きについての記載はありません。

加盟院を名乗る連絡も同じように確かめる

8月のお知らせでは、同社だけでなく「ホワイトエッセンス加盟院を装った」ダイレクトメール、メール、電話にも注意するよう書かれていました。かかりつけの加盟院を名乗る連絡で不審な点があれば、同社の公式サイトに載っている加盟院の電話番号に、自分からかけ直して確かめます。

電話や郵便で個人情報を聞かれたら答えない

住所、電話番号、生年月日、勤め先まで漏れている人もいます。相手が生年月日や勤め先を言い当ててきても、それは今回漏れた情報かもしれません。電話でカード番号や暗証番号を聞かれても答えず、一度切ってください。郵便で届いた請求書や案内に書かれた振込先や電話番号は、同社の公式サイトの情報と照らし合わせてから使います。住所が漏れたときの備えは個人情報が流出して住所が漏れたときの対応にまとめています。

だまされたかもしれないときの相談先

偽のサイトにカード番号やパスワードを入力してしまったときは、すぐにカード会社へ連絡してカードを止め、同じパスワードを使っていたサービスのパスワードを変えます。被害に遭ったときは警察庁のサイバー事案に関する相談窓口から都道府県警察に相談できます。パソコンやスマートフォンのウイルスの心配など技術的な相談は、情報処理推進機構（IPA）の情報セキュリティ安心相談窓口（電話03-5978-7509、10時から17時、土日祝日と年末年始を除く）が受け付けています（IPAの情報セキュリティ安心相談窓口）。

問い合わせ窓口

10月5日の発表に載っている、この件の問い合わせ先は次のとおりです。

窓口	番号・アドレス	受付日時
本件専用窓口（電話・通話料無料）	0120-385-035	10月5日から18日は10時から19時（土日祝含む）。10月19日以降は10時から19時（平日のみ、土日祝除く）
メール	[email protected]	平日のみ（土日祝除く）

2026年10月20日時点では、電話の受付は平日の10時から19時です。土日祝日は電話がつながらないので、急ぎでないことはメールで送ると、受付日に順次対応してもらえます。

8月のお知らせでは、予約そのものについての問い合わせは、この件の窓口ではなく、コンシェルジュデスク（[email protected]）か各医院へという案内でした。漏えいについて知りたいことは本件専用窓口へ、予約の変更などは予約の窓口へ、と分けて問い合わせると、やりとりが少なくて済みます。

問い合わせるときは、予約サイトに登録した名前とメールアドレス、知りたいこと（自分が対象か、どの項目が漏れたか、マイページの再開の見通しなど）を短くまとめておきます。パスワードやカード番号を伝える必要はありません。窓口の番号やアドレスは、届いたメールに書かれたものではなく、同社の公式サイトのお知らせで確かめたものを使ってください。

会社の対応に納得がいかないときや、個人情報の扱いについて一般的な相談をしたいときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」も使えます。電話は03-6457-9849、受付時間は9時30分から17時30分（土日祝日と年末年始を除く）です（個人情報保護法相談ダイヤル）。

在宅で仕事をする人が気をつけること

ホワイトニングの予約サイトは私用のサービスですが、在宅で仕事を受けている人には、考えておきたいことがあります。

勤め先の欄に、取引先や仕事の情報を書いていなかったか

漏れた項目には「勤め先」が入っています。フリーランスや個人事業主として登録した人は、屋号や、常駐している取引先の会社名を勤め先として書いていたかもしれません。その場合、偽の連絡で「○○社にお勤めの方へ」と取引先の名前を出してくる可能性があります。取引先の名前を知られていることを前提に、仕事の連絡に見せかけた偽のメールにも注意してください。

仕事用のメールアドレスとパスワードを使っていた場合

予約サイトに仕事用のメールアドレスを登録し、仕事のサービスと同じパスワードを使っていた場合は、最優先で仕事のサービスのパスワードを変えます。仕事で使うクラウドやメールに不正にログインされると、取引先から預かった情報まで危険にさらすことになります。

個人情報保護委員会のガイドラインでは、個人情報をデータベースにして事業に使っている人は、規模に関係なく「個人情報取扱事業者」に当たるとされ、フリーランスや個人事業主も対象になります。今回の件で漏れたのは利用者本人の情報で、法律上の報告や本人への通知の義務を負うのはホワイトエッセンスの側です。ただ、自分のアカウントが乗っ取られて取引先の情報が漏れた場合は、自分が報告や通知をする立場になりうるので、早めにパスワードを変えておくことが自分を守ることにもなります。自分の場合にどう扱われるかは、情報の中身や取引先との契約で変わるので、迷うときは個人情報保護委員会の相談ダイヤルで確かめてください。

取引先に知らせた方がよい場面

仕事用のアドレスが漏れ、そのアドレスを名乗る偽のメールが取引先に届くおそれがあるときは、取引先に一言伝えておくと被害を防げます。偽メールの手口と見分ける力のつけ方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで解説しています。

漏えいが続くいま、在宅で働く人がアカウントを守るために

2026年10月は、百貨店、コンビニ、新聞社、予約サイトと、日常で使うサービスで個人情報の漏えいの発表が相次ぎました。ホワイトエッセンスの件のように、パスワードが暗号化されていても、使い回しをしていれば、被害はほかのサービスに広がるおそれがあります。漏えいそのものは利用者の側では防げませんが、使い回しをやめておけば、1つの漏えいの被害を1つのサービスの中に閉じ込められます。

2004年から在宅ワークとフリーランスの仲介を続けてきた@SOHOの運営で見てきた範囲では、取引が長く続く人ほど、アカウントの管理を仕事の信用の一部として扱っています。仕事用と私用のアドレスを分ける、パスワードをサービスごとに変える、二段階認証を設定する。こうした地味な備えを最初に済ませている人は、万一のときにも慌てずに済み、取引先からも安心して任されます。

セキュリティの知識を在宅の仕事に生かしたい人は、AI・マーケティング・セキュリティのお仕事で、どんな仕事があるかを見ておくと、漏えい対策の知識が仕事につながる場面が分かります。

まずは今日、ホワイトエッセンスの予約サイトと同じIDやパスワードを使っているサービスを書き出し、お金に関わるものとメールから順にパスワードを変えてください。そのうえで大事なサービスから二段階認証を設定していけば、今回の漏えいで起こりうる被害の多くに備えられます。