ヘアサロンの予約情報が狙われる——身近な業種に忍び寄るサイバー攻撃の実態

私たちが日常的に利用するヘアサロンやエステサロン。その予約システムがサイバー攻撃の標的となった。2026年3月、ヘアサロン向け予約管理サービス「BeautyMerit」を展開するサインド社は、同システムがサイバー攻撃を受けたことを明らかにした。顧客の個人情報が流出した可能性があるとして、詳細な調査が進められている。身近な業種を狙うサイバー攻撃の実態と、私たちが知っておくべきことを解説する。

「BeautyMerit」へのサイバー攻撃とその対応

記事によると、サインド社は2026年3月10日に「BeautyMerit」システムに対する不審なアクセスを検知した。被害の拡大を防ぐため、同社は直ちに該当システムをネットワークから遮断し、外部の専門家と協力して調査を開始した。

2026年3月24日時点では、流出した情報の不正利用は確認されていないという。しかし、システムで管理していた利用者の氏名、電話番号、メールアドレスなどの個人情報が外部に流出した可能性があるとしている。流出の有無や、具体的な対象範囲、項目については現在も調査中だ。

同社は警察への被害届の提出、個人情報保護委員会への報告を行い、さらなる詳細な調査（フォレンジック調査）を外部に依頼して全容解明を目指す方針を示した。不正アクセスの経路は特定・遮断され、第三者による操作は停止したと説明している。また、「BeautyMerit」の各機能自体にはサイバー攻撃の影響はなく、平常通り稼働を継続しているという。

なぜヘアサロンの予約システムが狙われるのか？

今回の標的は、大企業の基幹システムではなく、中小規模の事業者向けクラウドサービスだ。一般的に、このような業種向けのシステムは、大企業に比べてセキュリティ投資のリソースが限られる場合があり、攻撃者にとっては「比較的侵入しやすい標的」と見なされる可能性がある。

さらに、予約システムには顧客の実名、連絡先、来店履歴といった価値のある個人情報が集積している。これらの情報は、フィッシングメールの送信先リストとして悪用されたり、他の漏洩情報と組み合わせられて個人のプロファイルを詳細に作成するために使われたりするリスクがある。攻撃者は、こうしたデータの「転売価値」や「悪用可能性」を狙っていると考えられる。

利用者と事業者が今、取るべき行動

今回の事案は、私たちが日常的に利用するサービスでも情報漏洩リスクが存在することを示している。利用者としてまず取るべきは、サービス提供者からの公式な連絡を待ち、内容を確認することだ。不審なメールや電話が増える可能性があるため、特に「BeautyMerit」を利用しているサロンの顧客は、送信元をよく確認し、安易にリンクをクリックしたり、個人情報を返信したりしないことが重要だ。

一方、事業者（今回はサロン運営者）にとっての教訓は、利用するクラウドサービスのセキュリティ対策を自らも確認・理解しておく必要性だ。サービス提供者に依存する部分は大きいが、二段階認証の導入有無や、アクセスログの管理方針など、基本的なセキュリティ機能が提供されているかどうかをチェックすることは可能である。また、万が一に備え、自店で保有する顧客情報のバックアップを別途取得しておくなどの対策も検討すべきだろう。

サイバー攻撃は特定の業種や規模を選ばない。今回の事例は、デジタル化が進むあらゆる業種が潜在的な標的となり得るという、現代のリスクを改めて浮き彫りにしている。