Healing Paper：Unni（カンナムオンニ）の連携機能（API）への不正アクセスによる個人情報漏えい

影響件数

21万9,665人

漏えい対象者（全体） · 確認済み · 他 1 区分

対象となった情報

氏名、電話番号、メールアドレス

他 5 種

侵入経路

API の不正操作

公表に明記

漏えいの確認

確認済み

調査中

美容医療の情報プラットフォーム「Unni（カンナムオンニ）」を運営する株式会社Healing Paperは、2026年9月4日に相談履歴を照会する連携機能（API）に対する不正なアクセスが発生し、一部の利用者の個人情報が漏えいしたと公表した。同社は異常な兆候を検知した直後に該当のアクセス経路を遮断し、9月5日にも同一の攻撃者による別経路からの再アクセスを確認して直ちに遮断、システム全体を総点検して認証プロセスの強化、検知体制の高度化、権限検証ロジックの再整備を行った。韓国インターネット振興院（KISA）へ自主報告し、9月6日に管轄警察署へ捜査を依頼した。漏えい対象者数は合計219,665名（韓国約16万名、日本約4.8万名、台湾4,218名、タイ1,591名、中国481名、英語圏およびその他5,308名）。漏えい項目全体は、氏名、電話番号、メールアドレス、生年月日および性別、国および居住地域、ソーシャルログインID、内部識別ID、サービス利用情報（端末情報、アプリバージョン、アクセスIP）、予約・相談の申込・利用情報、決済情報、施術情報など。9月9日の更新で、日本の利用者については口コミおよび予約登録時の写真、クリニックの症例写真、相談動機、クレジットカード番号および暗証番号は流出していないことを確認したとした。対象者には個別に連絡した。

組織

株式会社Healing Paper企業

業種

情報通信業 · 情報サービス・SaaS

発生（判明）期間

2026-09-04 〜 2026-09-05

根拠:「2026年9月4日、相談履歴を照会する連携機能（API）に対する不正なアクセス」[s1]「9月5日にも同一の攻撃者による別経路からの再アクセスを確認」[s1]

検知日

2026-09-04

第1報の公表日

2026-09-07

根拠:「当社は9月7日、漏えい対象となるお客様へ個別にSMSおよびメールでご案内」[s2]

影響件数

漏えい対象者（全体） 219,665人（確認済み） / 日本の利用者 約48,000人（確認済み）

根拠:「合計219,665名（韓国ユーザー約16万名、日本約4.8万名」[s1]

対象となった情報

氏名、電話番号、メールアドレス、生年月日、アカウント ID、健康・医療情報、購買履歴、その他

根拠:「お名前、ご連絡先（電話番号、メールアドレス）、生年月日および性別」[s1]

漏えいの確認状況

確認済み

侵入経路

API の不正操作 公表に明記

根拠:「相談履歴を照会する連携機能（API）に対する不正なアクセスが発生し」[s1]

原因（公表の記述）

相談履歴を照会する連携機能（API）に対する不正なアクセス。9月5日にも同一の攻撃者による別経路からの再アクセスを確認して遮断した。悪用された脆弱性の詳細は公表されていない。

公表文の記載項目

原因 あり件数 あり時系列 あり最終報告 なし

1. 発生2026-09-04〜 2026-09-05
2. 同日中央値 2 日検知2026-09-04
3. 3 日中央値 4 日第1報2026-09-07
4. 3 日続報2026-09-10
5. 最終報告未公表

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

1. 2026-09-07第1報Unni（カンナムオンニ）_個人情報漏えいのお詫びとご報告

   株式会社Healing Paperは、「Unni（カンナムオンニ）」で2026年9月4日に相談履歴を照会する連携機能（API）への不正アクセスが発生し、合計219,665名（日本約4.8万名）の氏名、電話番号、メールアドレス、生年月日、予約・相談、決済、施術に関する情報などが漏えいしたと公表した。経路を遮断し、9月5日の再アクセスも遮断。KISAへ報告し、9月6日に警察へ捜査を依頼した。

   原文
2. 2026-09-10続報「美容医療プラットフォーム Unni（カンナムオンニ）」個人情報漏えい事案に関するお詫びと漏洩項目精査のご報告

   株式会社Healing Paperは2026年9月10日、9月4日のAPIへの不正アクセスによる個人情報漏えいについて、日本の利用者に該当する漏えい項目の精査結果を公表した。日本の利用者は口コミ・予約登録時の写真、クリニックの症例写真、相談動機、クレジットカード番号および暗証番号の漏えいはないと確認。9月6日にKISAへ自主報告し警察へ捜査を依頼した。

   原文 · 保存版（当サイト）

この事案に結びついた攻撃グループの記録はありません。

API の不正操作: アプリ解析で得た API キー、権限昇格、NoSQL インジェクション · ATT&CK T1190, T1078

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

• 同じ侵入経路: 2026-10-23 グリーンモンスター：グリーンモンスター「FXなび」にサイバー攻撃、個人情報漏えいのおそれ　約619万件のユーザー情報等が対象
• 同じ侵入経路: 2026-10-22 ネットプロテクションズ：「NP後払い」への不正アクセスについて
• 同じ侵入経路: 2026-10-15 ソースネクスト：当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ
• 同じ侵入経路: 2026-10-02 サミーネットワークス：777CON-PASSへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ
• 同じ侵入経路: 2026-09-28 集英社：「HAPPY PLUS COMMUNITY」への不正アクセスによる個人情報漏洩のお詫びとお知らせ
• 同じ業種（情報サービス・SaaS）: 2026-10-24 ピッコマ：お知らせ
• 同じ業種（情報サービス・SaaS）: 2026-10-23 M&Aクラウド：Webサイト制作サービス「Studio」への不正アクセスに伴う当社への影響について
• 同じ業種（情報サービス・SaaS）: 2026-10-23 バリューデザイン：当社提供システムへの不正アクセスに関するお知らせ
• 同じ業種（情報サービス・SaaS）: 2026-10-22 バルテック：不正アクセスによるお客様情報流出の可能性および一部サービス停止のお知らせ - バルテック
• 同じ業種（情報サービス・SaaS）: 2026-10-22 SmartHR：ノーコードWeb制作プラットフォーム「Studio」への不正アクセスに伴う情報流出の可能性に関するお知らせ

一覧で探す: 2026年の統計 · 情報通信業の事案 · API の不正操作の事案