アイラッシュガレージ、不正アクセスにより4万9,191件の情報漏えいで第2報　侵入経路を遮断しECサイトは通常利用可能、監視体制を強化

つげエクステ商材などを扱うECサイト「アイラッシュガレージ」を運営する株式会社アイラッシュガレージは2026年10月20日、不正アクセスによる顧客情報漏えいについて第2報を公表しました。10月15日の初報までに不正アクセス経路の遮断と監視体制の強化などの初動対策を終えており、同社のECサイトは現在、通常どおり利用できるとしています。

今回の第2報では、セキュリティ専門会社と連携した防御・検知体制の強化や、個人情報管理体制の見直しを進める方針も示しました。流出した情報の種類や件数については10月15日の初報が基礎となります。

アイラッシュガレージ不正アクセス・第2報のサマリー

• 2026年10月20日、株式会社アイラッシュガレージが顧客情報漏えいに関する第2報を公表しました。
• 10月10～12日に同社ECサイトのサーバーで不正侵入が発生し、10月13日に検知しました。
• 10月15日の第1報では、同ECシステムに保存されていた顧客情報4万9,191件の外部流出を確認したと公表しています。
• 同社によると、今回の不正アクセス経路の遮断と監視体制の強化など、初動対策は10月15日の公表時点で完了していました。
• 10月20日付の案内では、ECサイトは通常どおり利用できると説明しています。
• セキュリティ専門会社と協力し、不正アクセスの防止・検知、侵入後の被害拡大防止、個人情報管理の強化を継続します。
• 個人情報保護委員会への報告を実施済みです。
• 利用者には、同一・類似パスワードの使い回しを避け、取引先などを装ったメール・SMS・電話に注意するよう呼びかけています。

10月15日時点で初動対策を完了、ECサイトは通常利用できると案内

同社は10月20日、今回の不正アクセスに使われた経路の遮断と、セキュリティ監視体制の追加強化などの初動対策を10月15日の第1報公表時点ですでに完了していたと説明しました。第1報によれば、異常を検知した10月13日のうちに不正アクセス経路を特定し、遮断しています。

第2報では、同社ECサイトが通常どおり利用できることも明らかにしました。サービスの利用状況について新たに案内したもので、10月の不正アクセスによって外部へ流出した顧客情報が回収されたという意味ではありません。

なお、ビューティガレージでは別途、2026年2月からクレジットカード決済に関する調査・対応が続いています。今回の「ECサイトは通常利用可能」との記載だけで、過去の決済制限がすべて解除されたと判断しないよう注意が必要です。

第1報で確認された流出情報は4万9,191件　パスワードのハッシュ値も含む

10月15日の第1報によると、外部流出が確認されたのは、2026年10月10日23時55分時点でアイラッシュガレージのECシステムに保存されていた顧客情報4万9,191件です。

流出した主な情報には、会社名、サロン名、顧客氏名、営業形態、サロンのWebサイトURL、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値が含まれます。

ハッシュ値は元のパスワードそのものを平文で記録した情報ではありません。ただし、使われた保存方式や元のパスワードの強度によっては、元の文字列が推測されるリスクがあります。とりわけ他サービスで同一・類似のパスワードを使っている場合、別のサイトへの不正ログインにつながるおそれがあります。

第1報では、住所・配送先情報、購入履歴、クレジットカード情報を含む決済情報について、今回の事案における漏えいは確認されていないと説明しました。また、流出情報が不特定多数に公開された事実や、不正利用された事実も同報の時点では確認されていないとしています。

なお、親会社のビューティガレージが公表した「77万5,725件」は「ビューティガレージ」「アイラッシュガレージ」両ECシステムの顧客情報を対象とした数値です。アイラッシュガレージ単独の4万9,191件と混同したり、両者を足し合わせたりすることはできません。事件全体の概要は、セキュリティ対策Labのビューティガレージ・アイラッシュガレージの顧客情報77万5,725件流出に関する初報記事でも整理しています。

セキュリティ専門会社と連携し、侵入防止と被害拡大防止を継続

10月20日の第2報によると、アイラッシュガレージは今後、セキュリティ専門会社と連携し、不正アクセスを未然に防ぐ対策と、異常を早期に検知する仕組みを一段と強化します。加えて、仮に侵入された場合でも被害の拡大を抑えるための対策や、個人情報管理体制の強化を進める方針です。

技術面で見ると、侵入経路の遮断は最初の封じ込めにあたり、今後は監視やアクセス権限の管理を通じて再侵入や横展開を防ぐ運用が焦点になります。ただし、アクセス制御方式の具体的な変更内容や、EDR・多要素認証など個別製品・機能の導入状況までは、今回の第2報で明示されていません。

同社は個人情報保護委員会への報告を実施済みとし、同委員会から確認や指導・助言があった場合は適切に対応する考えを示しています。

サロン運営者・利用者が確認したい不正ログインと詐欺への対策

今回の漏えい情報にはサロン名や連絡先などの業務情報が含まれるため、実在する取引先を装ったフィッシングメールや電話、偽の請求・振込先変更依頼などに使われるリスクがあります。これは漏えい情報の性質から考えられる二次被害であり、今回の事件で実際に発生したと確認されたものではありません。

アイラッシュガレージは、第2報でも、同社や取引先を装ったメール・SMS・電話に警戒するよう求めています。同社が今回の対応を理由にパスワードや認証コードを尋ねることはなく、不審な支払い依頼などを受けた場合は公式窓口で確認するよう案内しました。

利用者側では、アイラッシュガレージと同一または類似のパスワードを他サービスで使っていないか確認し、該当するものを変更してください。特にサロンの業務用メール、予約管理、SNS、ECサービスなどではそれぞれ異なるパスワードを使用し、利用可能なサービスでは多要素認証を有効にする方法があります。

サロン内で仕入れや支払いを複数人が担当している場合は、取引先からの振込先変更や追加請求をメールだけで確定させず、以前から把握している連絡先に折り返して確認する運用も有効です。

出典

• 不正アクセスによるお客様情報漏洩に関するお詫びとお知らせ（第2報）〔2026年10月20日〕―株式会社アイラッシュガレージ
• 不正アクセスによるお客様情報漏洩に関するお詫びとお知らせ〔2026年10月15日〕―株式会社アイラッシュガレージ
• 不正アクセスによるお客様情報漏洩に関するお詫びとお知らせ〔2026年10月15日〕―株式会社ビューティガレージ

関連記事

サイバー攻撃集団 ロックビット(LockBit)とは？ 富士通で個人情報漏洩の恐れ　マルウェア感染も 不正アクセスで「よどいこ！」から個人情報流出の可能性 モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？ 国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に 北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表 ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円 WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表 福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)