ホワイトエッセンス、不正アクセスで予約サイト・基幹システムを停止　氏名や予約履歴などの流出有無を調査

ホワイトエッセンス株式会社は2026年8月12日、同社が運営する予約サイトおよび基幹システムに第三者からの不正アクセスが確認されたとして、システムを一時停止したと公表しました。

同社によると、不正アクセスを確認したのは8月5日です。外部のセキュリティ専門機関と緊急調査を行った結果、システムの一部で第三者による不正な操作とセキュリティ上のリスクが認められました。

対象システムには、サービス利用者の氏名、連絡先、予約履歴などの登録情報が含まれています。ただし、現時点では影響を受けたデータの範囲や外部流出の有無について調査中で、個人情報が漏えいしたとは確定していません。同社は追加被害を防ぐため、8月12日から予約サイトと基幹システムを停止しています。

ホワイトエッセンスの不正アクセス事案のサマリー

• ホワイトエッセンスは2026年8月12日、予約サイトと基幹システムへの不正アクセスを公表しました。
• 不正アクセスを確認したのは2026年8月5日です。
• 外部セキュリティ専門機関との緊急調査で、システムの一部に第三者による不正な操作とセキュリティ上のリスクが確認されました。
• 追加被害防止とデータ保護のため、8月12日から予約サイトと基幹システムを一時停止しています。
• 対象システムには、利用者の氏名、連絡先、予約履歴などの登録情報が含まれています。
• 影響を受けた具体的な情報項目、対象人数、外部流出の有無は現在調査中です。
• 現時点で利用者情報の不正利用などは確認されていません。
• 不正アクセス経路の封鎖、脆弱性の修復、監視体制の強化を進めています。
• デジタルフォレンジック事業者のほか、弁護士、警察その他関係当局への報告・相談を進めています。
• 個人情報保護委員会への報告状況は、今回の公表資料では確認できませんでした。
• 同社は2026年2月にも歯科衛生士転職サイト「メグリー」で別の不正アクセスを公表していますが、今回の事案との関連性を示す情報は確認できません。

項目	内容
公表日	2026年8月12日
対象組織	ホワイトエッセンス株式会社
不正アクセス確認日	2026年8月5日
対象システム	同社が運営する予約サイト、基幹システム
漏えい情報の内容	氏名、連絡先、予約履歴などの登録情報が対象システムに含まれる。具体的な影響項目は調査中
件数	対象人数・件数ともに公表時点では確認できませんでした
情報流出の状況	影響を受けたデータ範囲と流出の有無を調査中。個人情報の不正利用は現時点で確認されていません
対応状況	予約サイト・基幹システムを停止。不正アクセス経路の封鎖、脆弱性修復、監視体制強化、外部専門機関による詳細調査を実施
個人情報保護委員会への報告状況	公表資料では確認できませんでした
警察・関係当局への対応	弁護士、警察その他関係当局への報告・相談を進めています

8月5日に不正アクセスを確認

ホワイトエッセンスによると、2026年8月5日、同社が運営するシステムに対する外部からの不正アクセスを確認しました。

同社は直ちに外部のセキュリティ専門機関と連携し、緊急調査を実施しました。その結果、システムの一部で第三者による不正な操作とセキュリティ上のリスクが確認されたとしています。

現時点では、不正アクセスに利用された具体的な侵入経路や攻撃手法、悪用された脆弱性の詳細については公表されていません。

このため、特定の脆弱性や認証情報の窃取、ランサムウェアなどが原因だったと判断できる情報は確認できません。

予約サイトと基幹システムを一時停止

ホワイトエッセンスは、利用者のデータ保護とシステム環境の安全確認、追加的な被害の防止を優先し、2026年8月12日から予約サイトと基幹システムを一時停止しました。

システム停止により、予約や関連する業務について当面の間、一部受付・対応が制限されています。

同社は、システムの安全性が完全に担保できるまで停止を継続する方針です。

再開については、安全に利用できることが確認された段階で、公式ホームページなどを通じて案内するとしています。

今回の事案では、情報漏えいの有無だけでなく、顧客向け予約サイトと業務を支える基幹システムを同時に停止する事態となっている点にも注意が必要です。顧客情報を扱うシステムへの不正アクセスは、機密性だけでなく、予約受付や業務継続といった可用性にも影響を及ぼす可能性があります。

氏名・連絡先・予約履歴などが含まれる可能性

不正アクセスの対象となった予約サイトと基幹システムには、ホワイトエッセンスのサービスを利用する顧客の登録情報が含まれています。

同社は現時点で、対象情報の例として以下を挙げています。

• 氏名
• 連絡先
• 予約履歴など

ただし、これらすべての情報が実際に第三者によって閲覧または取得されたと確認されたわけではありません。

外部専門機関による調査は継続中で、影響を受けたデータの範囲や外部流出の有無について全容解明を進めています。具体的な対象項目についても調査中です。

対象となる利用者数やレコード件数については、今回の公表では確認できませんでした。

また、クレジットカード情報や決済情報、診療・施術に関する詳細な情報が今回の影響範囲に含まれるかについても、公表資料からは確認できません。

不正アクセス経路の封鎖と脆弱性修復を実施

ホワイトエッセンスは現在、外部専門機関の指導・助言を受けながら復旧と再発防止対応を進めています。

具体的には、不正アクセス経路の封鎖、セキュリティ上の脆弱性の修復、監視体制の強化を実施しています。

また、デジタルフォレンジック事業者による詳細調査に加え、弁護士、警察その他の関係当局への報告・相談も進めています。

一方、今回の公表資料では、個人情報保護委員会へ報告したとの明確な記載は確認できませんでした。

今後の調査によって利用者へ知らせるべき重要な事実が判明した場合は、速やかに追加で公表するとしています。

2026年2月にも別サービス「メグリー」で不正アクセス

ホワイトエッセンスでは2026年2月にも、同社が運営する歯科衛生士向け転職サイト「メグリー」で第三者による不正アクセスが発生しています。

セキュリティ対策Labでは、4月に公表された調査結果について、歯科衛生士転職サイト メグリー、不正アクセスで個人情報漏洩の恐れ—顔写真・職歴・転職希望条件なども対象として取り上げています。

メグリーの事案では、2026年2月18日に運用サーバーへの不正アクセスが発覚し、その後の調査でデータベース内の個人情報が窃取された可能性が高いと判断されました。

同社は、Webアプリケーション開発に使用していたフレームワークの脆弱性を悪用されたものと推測していました。

一方、今回の予約サイト・基幹システムへの不正アクセスについては、具体的な攻撃原因がまだ公表されていません。両事案が同一の脆弱性や攻撃者によって発生したとの情報も確認されていないため、現時点では別のインシデントとして扱う必要があります。

同じ企業で短期間に複数のシステムが不正アクセスを受けた場合、情報システム部門では個別システムの復旧だけでなく、共通するクラウド環境、認証基盤、管理アカウント、開発・運用体制、外部公開資産などに横断的なリスクがないか確認することも重要です。

フィッシングやなりすましに注意

ホワイトエッセンスは現時点で、利用者情報の不正利用などは確認されていないとしています。

一方で、万全を期すため、ホワイトエッセンスや加盟院を装ったダイレクトメール、不審なメール、電話などに注意し、暗証番号や個人情報を安易に提供しないよう呼びかけています。

今回の対象システムには氏名、連絡先、予約履歴などが含まれているため、仮にこれらの情報が外部へ取得されていた場合、実在する加盟院や予約内容を装った連絡に悪用される可能性があります。

例えば、「予約内容の確認」「予約変更」「本人確認」「システム障害に伴う再登録」などを理由に偽サイトへ誘導したり、追加の個人情報を聞き出したりする手口には注意が必要です。

また、同社は、他社サービスでホワイトエッセンスのサイトと同じID・パスワードを使用している場合には、他社サービス側のパスワードを速やかに変更することも推奨しています。

現時点で、本事案に関連したフィッシング、なりすまし、不正ログインなどの具体的な二次被害が発生したとの公式発表は確認できませんでした。

情報システム部門への示唆

今回の事案では、不正アクセスを確認した8月5日から外部専門機関による調査を進め、8月12日に予約サイトと基幹システムを停止しています。

顧客向けサービスと基幹業務が連携するシステムでは、一方への侵害が他システムへ波及する可能性を考慮し、ネットワークや認証、データベースの分離状況を確認する必要があります。

特に、外部公開されている予約サイトから基幹システムへどの範囲までアクセスできるのか、サービスアカウントやAPIキー、管理者認証情報などが共通化されていないかを確認することが重要です。

また、不正アクセス発覚後にサービスを停止する判断は、情報漏えいの拡大を防ぐ一方、予約受付や顧客対応など事業継続にも影響します。インシデント対応計画では、「どの条件でサービスを停止するか」だけでなく、電話や代替フォーム、手作業などによる業務継続方法についても事前に整理しておく必要があります。

加えて、同社では2026年2月にも別サービスで不正アクセスが発生しています。複数のシステムを運営する企業では、インシデントごとの対策だけで終わらせず、外部公開資産全体の棚卸し、脆弱性診断、パッチ管理、認証基盤、ログ監視、インシデント対応体制を横断的に見直すことが重要です。

出典

• 弊社システムへの不正アクセスに伴う予約サイトおよびシステム一時停止のお知らせ – ホワイトエッセンス株式会社
• 「メグリー」への不正アクセスに関するお知らせ – ホワイトエッセンス株式会社
• 「メグリー」への不正アクセスに基づく個人データの漏えいの可能性に関するお知らせ – ホワイトエッセンス株式会社
• 歯科衛生士転職サイト メグリー、不正アクセスで個人情報漏洩の恐れ—顔写真・職歴・転職希望条件なども対象 – セキュリティ対策Lab
  :::