対象：ホワイトエッセンス（歯のホワイトニング・クリーニング）の予約サイトやマイページに登録したことがある人、および加盟院・本部の関係者。本記事はホワイトエッセンス株式会社の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 件数の内訳（お客様・加盟院関係者・本部社員）
- 脆弱性の詳しい内容
- 個別連絡の対象と方法
- 二次被害の有無
- マイページ機能の再開時期
- 補償の有無
同社は10月5日の発表で、マイページ機能の再開にあたっては、あらためて案内するとしています。8月12日の発表では、調査で新たな事実が判明した場合は速やかに案内するとしていました。続報の時期は書かれていません。10月30日に同社のお知らせ一覧を確認し、10月5日の発表より新しい本件のお知らせは見当たりませんでした。
ホワイトエッセンスの利用者が今日やること
自分が対象になり得るかを知る
漏えいしたのは、2026年8月5日時点で同社に登録されていた情報です。対象者数は約105万アカウントで、お客様のほか、加盟院関係者・本部社員等を含む全体数です（同社）。登録内容は人ごとに違い、すべての項目が全員に当てはまるわけではありません。
予約サイトやマイページに登録したことがある人は、対象の可能性がある前提で次の手順に進みます。同社は、上記以外の項目が漏えいした人には個別に連絡するとしています。
同じIDとパスワードを使い回したサービスを変える
ログインIDとパスワードは、暗号化された状態で持ち出されたと同社は書いています。暗号化されていても、パスワードが推測しやすいものだと、元の文字列を割り出されるおそれがあります（一般論です）。
同社は、他のサービスで同じログインIDとパスワードの組合せを使っている場合は、そちらのパスワードを変えるよう求めています。同社のサービスについては、現在マイページ機能を停止しているため、利用者の手続きは必要ないとしています（10月5日時点）。変え方はパスワード漏えいの確認方法とパスワードマネージャーの選び方、使えるサービスでは2段階認証の有効化も合わせて確認してください。
同社や歯科医院を名乗る連絡のリンクや番号は使わない
同社は、漏えいした情報に名前と連絡先が含まれることから、同社または他の事業者を装った不審なメール、電話、郵便物が届く可能性があるとしています。8月12日の発表でも、同社や加盟院を装ったダイレクトメール、不審なメール、電話に注意するよう書いていました。
住所・電話番号・メールアドレス・生年月日・利用情報がそろっていると、本物らしい連絡を作れます。「予約確認」「ホワイトニング代の返金」「会員情報の更新」などの連絡が来ても、本文のリンクや書かれた電話番号は使わず、自分で開いた公式サイトか、同社の専用窓口で確かめます。
カード番号・暗証番号・パスワードを聞かれたら応じない
同社は、電話やメールでクレジットカード番号、暗証番号、パスワード等を聞くことは一切ないとしています。そのような連絡は、同社を名乗っていても応じず、記載されたURLを開いたり、情報を入力したりしません（同社の呼びかけ）。身に覚えのない連絡は、フィッシングやSMS詐欺の可能性があります。
不安があれば、同社の専用窓口に自分から問い合わせる
同社は、本件専用の窓口として、0120-385-035（通話料無料）を設けています。受付は、10月5日（月）〜18日（日）が10:00〜19:00（土日祝含む）、10月19日（月）以降は10:00〜19:00（平日のみ、土日祝を除く）です（10月5日の発表）。メールの窓口も発表に載っています。
窓口は、同社の公式お知らせ（このページの「出典」）で確かめてから使ってください。届いたメールやSMSに書かれた番号には掛けないでください。
① ホワイトエッセンスや歯科医院を名乗るメール／SMS／電話／郵便物
氏名・住所・生年月日が正しい → ここでは判断しない
↓
② リンク・番号は使わず、公式サイトを自分で開くか、同社の専用窓口に自分から連絡する
公式のお知らせで窓口を確かめてから使う
↓
③-A 確かめられない要求
カード番号・暗証番号・パスワードの入力、URLを開く → 応じない
③-B 公式の窓口でも同じ案内がある
手続きは公式の案内に沿って行う
何が起きたのか（ホワイトエッセンスの発表より）
以下は、同社が2026年8月12日（8月19日・9月10日に一部更新）と10月5日に公表したお知らせにもとづきます。10月5日の発表本文は画像で掲載されており、当サイトはその画像を直接読んで内容を書き起こしています。
2026年8月5日
システムに対して、外部からの不正アクセスが確認された8月12日（水）
お客様の情報の保護と追加的な被害の防止のため、システムを一時停止し、ウェブサイトで第1報を公表。この時点では、対象の項目は調査中その後
調査を継続した結果、個人情報が外部に持ち出されていたことが判明。脆弱性への対処と必要な措置を講じ、外部専門機関の確認を経て、安全性を確認できた範囲からサービスを再開10月5日（月）
「不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」で、漏えいした項目・約105万アカウント・原因を公表。個人情報保護委員会へ報告のうえ対応し、警察にも相談していると記載
- 対象者数
- 約105万アカウント。お客様のほか、加盟院関係者・本部社員等を含む全体数
- 漏えいした個人情報
- お名前、ご住所、お電話番号、メールアドレス、生年月日、性別、お勤め先、ログインIDおよびパスワード（暗号化された状態）、サービスのご利用・対応に関する情報、同社の管理番号等。登録内容はお客様ごとに異なり、全員がすべての項目に該当するわけではない
- 含まれないもの
- 金融機関の口座情報は預かっておらず、漏えいしていない。お客様の画像が漏えいした事実も確認されていない
- 原因
- 予約サイトのプログラムに存在した脆弱性を悪用され、これを起点として基幹システムに不正アクセスされたこと。当該脆弱性は、専門家の助言と指導のもと、すでに対処を完了
- 再発防止・関係機関
- 不正な通信を検知・遮断する仕組みの導入、認証方式・システム構成・権限設定の見直し、監視体制の強化。個人情報保護委員会へ報告し、警察にも相談
- サービスの状況
- マイページ機能は現在停止中で、再開時にあらためて案内（10月5日時点）
分かっていること・分かっていないこと
2026年10月30日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスがあったこと | 2026年8月5日に確認、8月12日にシステムを一時停止 | 確定（同社） |
| 個人情報が外部に持ち出されたこと | 調査の結果、持ち出されていたことが判明 | 漏えいを確認（同社） |
| 対象者数 | 約105万アカウント（お客様・加盟院関係者・本部社員等の全体） | 確定（同社） |
| 氏名・住所・電話番号・メールアドレス・生年月日・性別・勤務先 | 漏えい項目に記載（全員が全項目ではない） | 漏えいを確認（同社） |
| ログインIDとパスワード | 暗号化された状態で漏えい | 漏えいを確認（同社） |
| サービスの利用・対応に関する情報、管理番号等 | 漏えい項目に記載 | 漏えいを確認（同社） |
| 金融機関の口座情報 | 預かっておらず、漏えいしていない | 含まれない（同社） |
| お客様の画像 | 漏えいした事実は確認されていない | 確認されていない（同社） |
| クレジットカード情報 | 漏えい項目に記載なし | 記載なし |
| お客様・加盟院関係者・本部社員の内訳 | 内訳は書かれていない | 記載なし |
| 原因 | 予約サイトのプログラムの脆弱性が悪用され、基幹システムへ | 確定（同社）。脆弱性の詳細は公表なし |
| 二次被害 | 10月5日時点で確認されていない。不審な連絡が届く可能性あり | 確認されていない（同社） |
| 個別連絡 | 上記以外の項目が漏えいした人には個別に連絡。連絡先を確認できた人へ順次 | 記載なし（対象・方法の詳細） |
| 補償 | 記載なし | 記載なし |
読み方の注意：件数は「アカウント」で、お客様の人数ではありません
約105万は「アカウント」の数で、お客様のほか、加盟院関係者・本部社員等を含む全体数と書かれています。お客様だけの数や、人数との関係は書かれていません。「暗号化された状態」の方法（元に戻せるか、元に戻せない形か）も書かれていないため、当サイトは安全だと判断せず、パスワードの使い回しがあれば変えるよう勧めます。
漏れた項目の組み合わせで何が起きうるか
以下は、今回の項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- 氏名＋住所＋電話番号＋メールアドレス＋生年月日：同社や歯科医院を名乗る、本物らしいメール・SMS・電話・郵便物が作れる。生年月日は本人確認を装う材料になりやすい（同社も不審な連絡が届く可能性を挙げている）
- サービスの利用・対応に関する情報：利用した施術や予約の状況を知っているかのような連絡を作れる。「予約の変更」「返金の手続き」を装った誘導に使われうる
- メールアドレス＋ログインID＋パスワード（暗号化）：パスワードが推測されやすいものだと、他のサービスへのログインに試される可能性がある。使い回しをやめるのが最も効く
- 勤務先：職場を知っているかのような連絡を作れる
どれも、届いた連絡のリンクや番号を使わず、自分で調べた公式の窓口で確かめれば防げるものが中心です。
運営者が見直すこと
詳しい原因は公表されていないため、ここでは公表された内容から言えることだけを挙げます。
- 予約サイトを入口にした基幹システムへの到達：同社の発表は、予約サイトのプログラムの脆弱性が起点になったと書いています。外部に公開する画面と、顧客情報を持つ基幹システムの間の分離と権限設定を点検することが、一般に有効です。同社も、システム構成および権限設定の見直しを再発防止策に挙げています。
- 持つ必要のある情報の範囲：今回、住所・生年月日・勤務先・利用情報まで保存されていました。サービスに必要な範囲を決め、不要な情報を持たない運用を点検します。
- パスワードの保存方法の説明：「暗号化」とだけ書くと、利用者はどの程度安全か判断できません。保存の方法と、使い回しを防ぐ措置を、利用者に説明できる状態にしておくと、漏えい時の案内がしやすくなります。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない詳細は推測していません。
- ホワイトエッセンス株式会社「不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」（2026年10月5日） — whiteessence.com
- ホワイトエッセンス株式会社「弊社システムへの不正アクセスに伴う予約サイトおよびシステム一時停止のお知らせ」（2026年8月12日、8月19日・9月10日一部更新） — whiteessence.com
更新履歴
2026-10-30：初版。ホワイトエッセンス株式会社の10月5日の発表（本文は画像のため、画像を直接確認）と8月12日の発表にもとづく。10月30日にお知らせ一覧を確認し、10月5日より新しい本件のお知らせは見当たらず。内訳・脆弱性の詳細・補償などが公表されたら更新します。
次に読む
- 同じ型の事案（会員のログイン情報と連絡先）：ニフティの不正アクセス ／ So-net会員データベースへの不正アクセス
- 同じ時期の国内の事案：ミスターマックス（会員の氏名・メール・電話）
- 便乗詐欺への備え：フィッシングとは ／ スマホを安全に使う基本
- アカウントを守る：パスワード漏えいの確認方法 ／ パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）