カンナムオンニで約22万人の情報漏洩 日本の利用者約4万8000人への影響と企業の対策
カンナムオンニで発生した情報漏洩について、対象情報と不正アクセスの経緯を解説。9月9日の更新で判明した日本の利用者への影響、なりすましへの注意点、企業が見直したい対策を整理します。
目次
美容医療の予約・相談サービス「Unni（カンナムオンニ）」で、約22万人の個人情報が漏洩しました。日本の利用者約4万8000人も対象に含まれています。運営会社は9月9日の更新で、日本の利用者については予約登録時の写真など一部の情報は流出していないと説明しています。
顧客の連絡先とサービスの利用履歴が結び付くと、利用先を装った連絡を信じてしまうリスクが高まります。今回の事件から、利用者が確認すべきことと、顧客情報を扱う企業が見直したい対策を考えます。
カンナムオンニのAPIへの不正アクセスと情報漏洩の経緯
不正アクセスが発生したのは、2026年9月4日です。運営会社の株式会社Healing Paperは、相談履歴を照会する連携機能（API）が不正アクセスを受けたと説明しています。APIとは、アプリやシステム間でデータをやり取りするための仕組みです。今回はこの機能を通じて、一部の利用者の個人情報が漏洩しました。
同社は異常な兆候を検知した直後にアクセス経路を遮断し、緊急対応を実施しました。しかし、翌5日にも同じ攻撃者による別経路からの再アクセスを確認し、その経路も遮断しています。
その後、システム全体を点検し、認証プロセスの強化、不正アクセス検知体制の高度化、権限検証ロジックの再整備などを行ったと説明しています。韓国インターネット振興院（KISA）への自主報告に加え、9月6日には管轄警察署へ捜査を依頼しました。
今回の経緯は、最初に見つかった経路を塞いだ後も、別の経路から同じ情報へアクセスできないかを確認する重要性を示しています。
日本の利用者への影響は9月9日の更新情報も確認
漏洩対象者は、全体で21万9,665人です。日本の利用者は約4万8000人とされています。漏洩項目の全体一覧には、次のような情報が含まれています。
| 情報の区分 | 告知に記載された主な項目 |
|---|---|
| 基本情報・連絡先 | 氏名、電話番号、メールアドレス、生年月日、性別、国・居住地域 |
| 識別・サービス利用情報 | ソーシャルログインID、内部識別ID、利用端末情報、アプリバージョン、アクセスIP |
| 予約・相談情報 | 施術名、医師名、クリニック名、予約状況、予約希望時間、予約登録写真、予約動機など |
| 決済情報 | 価格、使用ポイント、注文・取引識別番号、決済金額・方法・日時など |
| 施術情報 | 関心・申込・実際の施術情報、来院・施術日時など |
この表は全体の一覧であり、利用者ごとの対象項目は異なります。さらに、9月9日の更新では、日本の利用者について以下の情報は流出していないと明記されました。
- 口コミおよび予約登録時の写真
- クリニックの症例写真
- 相談動機
- クレジットカード番号および暗証番号
日本の利用者への影響を把握する際は、全体の漏洩項目と、日本向けの更新情報を分けて確認する必要があります。 「写真や決済情報も漏洩」という見出しだけで、自分の写真やカード番号も流出したと判断しないことが大切です。
運営会社は対象者へ個別に連絡し、告知の掲載日から30日間、ホームページで本人に該当する漏洩項目を確認できると案内しています。利用したことがある方は、公式の案内から自分の対象項目を確認してください。
クリニックを装った連絡や割引案内に注意
流出情報を使ったフィッシング詐欺などの二次被害にも注意が必要です。運営会社は、特にUnniやクリニックを装い、割引特典やクリニックの案内を口実にリンクのクリックを促す連絡に注意を呼び掛けています。
例えば、実際に相談したクリニック名や施術名を示されると、正規の連絡だと受け止めやすくなります。
相手が自分の氏名や利用履歴を知っていても、それだけで正規の連絡とは判断できません。 SMSやメールに記載された不審なリンクを開く前に、普段利用しているアプリや公式窓口から内容を確かめましょう。
同社は、SMSや電話で利用者に個人情報を尋ねることはないと説明しています。個人情報や金融情報の提供を求められた場合は応じず、公式のカスタマーセンターへ確認してください。
企業が見直したいAPIのアクセス管理
予約・相談履歴には、顧客の連絡先だけでなく、その人が何に関心を持ち、どのサービスを利用したかという情報も集まります。企業がこうした情報を保護するには、APIを通じて「誰が、どの情報を、どこまで取得できるか」を確認することが欠かせません。
今回の告知では具体的な脆弱性の詳細までは示されていませんが、企業側の点検項目として重要なのが、データごとのアクセス権限です。ログインしている利用者であっても、他の利用者の予約や相談履歴を取得できないよう、システム側で権限を検証する必要があります。
セキュリティ団体OWASPも、APIでデータを扱う各機能について、利用者がそのデータに対して操作する権限を持つかを検証するよう勧めています。開発時の確認に加え、権限の検証が正しく働くかをテストし、改修後も維持できるようにすることが重要です。
顧客情報を取得する機能は、ログインの確認と、個々のデータを扱う権限の確認を組み合わせて守る必要があります。 今回のように別経路からの再アクセスがあった場合に備え、関連する機能も含めて点検できる体制を整えておきましょう。
企業が情報漏洩で信頼を失わないためにできること
情報漏洩が起きた際、利用者が知りたいのは「自分のどの情報が対象なのか」「何に注意すればよいのか」です。全体の影響と個別の影響を整理し、新しく分かった事実を速やかに伝えることが、不安の軽減につながります。
企業側では、システム内の対策とあわせて、社外へ流出した自社情報に気付く仕組みも考えておきたいところです。一般に、外部サービスで会社のメールアドレスやIDを使っている場合、そのサービス側の事故によって自社に関係する情報が流出することもあります。
ダークウェブアイ／情報漏洩は、ダークウェブ上の自社情報を監視・検知し、発見後の迅速な対応を支援します。 会社のメールアドレスやID、パスワードなどの漏洩リスクを把握する手段として、社内のアクセス管理を補う位置付けで活用できます。
監視を導入する際は、検知結果を確認する担当者と、情報の種類に応じた対応を決めておくことも大切です。漏洩の防止、発見、利用者への案内をつなげることで、情報が悪用されるリスクと、対応の遅れによる不信感を抑えていきましょう。
