SecurityHeroblog
セキュリティの基本19閲覧

「お母さんに頼まれた」という大人 — カンナムオンニ流出のあとに来る電話

美容医療アプリ「カンナムオンニ」の利用者21万9千人余りの情報が流出したと報道されました。名前と電話番号だけでなく、どの病院でどんな施術を相談したか、相談写真まで含まれています。その情報を手にした人が病院を装って電話をかけてきたとき、何をすべきかをまとめました。

小学校のころに教わったルールがひとつあります。校門の前で知らない大人が「お母さんに急用ができて、私に迎えに来るよう頼まれたんだ」と言っても、ついて行かない。代わりに、お母さんに直接電話する。

その大人が私の名前を知っていたらどうでしょう。何組かも、昨日ピアノ教室に行ったことまで知っていたら。

ルールは変わりません。むしろ、もっと固く守らなければなりません。私のことをよく知っていることと、お母さんに頼まれた人であることは、別の話だからです。確かめる方法はひとつだけ。私が知っているお母さんの番号に、私が自分でかけること。

今週報道された事件は、大人たちにこのルールをもう一度取り出させます。この記事は校門の前の話で最後まで進みます。

まず、私の側で起こりうること

見知らぬ番号から電話が来ます。相手はこう言います。お客様、先月○○医院でお受けになった○○施術のアフターケア無料相談のご案内です。

病院名が合っています。施術名も合っています。行った月も合っています。そして確認のためにSMSで送ったリンクを押してほしいと言います。あるいは再来院割引を適用するのでカード情報を教えてほしいと言います。

ここで疑うのは難しいことです。その病院に行ったことを知っているのは、私と病院だけなのですから。ところが、いまその前提が崩れました。

事実 皮膚・美容整形の施術を行う病院を探して相談し予約するアプリカンナムオンニの運営会社ヒーリングペーパーが、9月7日、利用者21万9,665人の個人情報が流出したと明らかにしました。京郷新聞など4媒体が同日に報じた内容です。

事実 会社は流出の事実を知らせるとともに、カンナムオンニや病院になりすまして、病院の案内や割引特典を口実に連絡してきたりリンクを押させたりするケースに注意するよう呼びかけたと報道されました。なりすましとは、他人の名前を借りてその人のふりをすることです。施術と相談の情報が混ざっているため、病院やアプリになりすました二次被害が懸念されるという指摘も併せて出ました。二次被害とは、情報が漏れたこと(一次)の次に、その情報を使って起きる詐欺のような出来事を指します。

推定 はっきりさせておくことがあります。上に書いた電話は**「来る可能性のある」電話**です。実際にこうした電話がかかってきて被害が出たという報道はまだありません。いまは会社が「注意してほしい」と言った段階です。ただし、なりすまし連絡を作る材料が流出したことは報道された事実であり、だからこの記事を書いています。

校門の前に置き換えるとこうです。見知らぬ大人が私の名前だけを知っているのではありません。何組かも、昨日行った習い事まで知っています。それでも、その人がお母さんに頼まれた人だという証拠はまだひとつもありません。

なぜ通用するのか — 相手が「私と病院しか知らないこと」を握っているから

名前と電話番号が漏れる事故はよくありました。今回の件が違うのは、何が漏れたかです。

事実 基本情報としては、名前、電話番号、メールアドレス、生年月日、性別、居住国と地域、SNSログインID、接続IP(インターネットに接続する際に端末に付く住所)、端末情報(どの携帯電話を使っているか)が流出したと報道されました。

事実 ここまでは他の流出事故と似ています。問題はその次です。相談申し込みに関連する項目としてイベント・施術名、病院名、医師名、相談写真が流出したとイーデイリーが報じました。

事実 アジア経済の報道によると、どの施術に関心を持って申し込み実際に受けたか、病院に行った日付と施術日、決済した金額と決済手段と決済時刻も一部流出しました。

推定 私たちがなりすまし電話を見分ける方法は、たいていひとつです。向こうが私についてどれだけ知っているかを見ることです。名前だけ言われれば疑い、私の病院と施術と日付と決済金額まで言われれば信じます。ところが今回流出したのが、まさにそのリストです。だから**「こんなに詳しく知っているのだから病院に違いない」という判断が、今回の件では機能しません。**詳しく知っていることは病院である証拠ではなく、流出した情報を握っているというサインかもしれません。

事実 流出の経緯はこう報道されました。9月4日、相談履歴を照会する連携機能(API)に異常なアクセスがありました。APIはアプリとサーバーがデータをやり取りする窓口です。9月5日には同じ攻撃者が別の経路から再び入ろうとするのを確認して防いだといいます。会社は9月6日に警察に捜査を依頼しました。捜査依頼とは「この件を調べてほしい」と警察に正式に要請することです。

推定 なぜその窓口が開いていたのか、どうやって突破されたのかは公開されていません。この記事は手口を推測しません。読者が知るべきなのは手口ではなく、何が漏れて、だから何に注意すべきかです。

数字で見た大きさ

数字を表に並べます。**3列目を一緒に見てください。**すべて会社の発表を伝えた報道であり、私たちが会社の告知文の原文を直接確認したわけではありません。

数字 何 出典
219,665人 流出対象の全体 京郷新聞(報道)
約16万人 うち韓国の利用者 京郷新聞(報道)
約4万8千 · 4,218 · 1,591 · 481 · 5,308 日本 · 台湾 · タイ · 中国 · その他 京郷新聞(報道)
30日 ホームページで自分の流出項目を照会できる期間 アジア経済(報道)
9月4日 · 5日 異常アクセスがあった日 · 再びアクセスを試みた日 ニュースピム(報道)

事実 21万9千という数はなかなかつかめないでしょう。1日に千人ずつ電話をかけたとしても七か月以上かかる数です。そして10人のうち7人が韓国の利用者です。韓国でこのアプリで相談や予約をしたことがあるなら、自分もその中にいると考えるのが妥当です。

事実 ただし、この数字は情報が流出した人の数であって、詐欺に遭った人の数ではありません。二つは別の値です。校門の前に見知らぬ大人が立っている可能性のある生徒が21万人だという意味であって、ついて行った生徒が21万人だという意味ではありません。

事実 日付も見てください。異常アクセスは9月4日、会社の発表は9月7日です。三日後です。今日は9月12日なので、情報が漏れてから8日目です。

推定 なりすまし連絡が来るとすれば、情報が漏れた直後から始まる可能性があります。だから「いつか注意しよう」ではなく、いまからです。照会窓口の30日も同じです。期間がいつから数えられるのかは報道にありませんが、発表日からだとすれば残りの日数はすでに減っています。先延ばしにすれば窓口は閉じます。

だから、いまやること

二つです。どちらも今日できます。

一つ。30日以内に、自分の情報のうち何が漏れたかを自分で見る。

カンナムオンニのホームページで本人の流出項目を照会できるようにしてあると報道されました。対象者には個別通知、つまり一人ひとりに別々の知らせも送ったといいます。通知を受け取ったなら、自分が対象者だという前提で動けばいいのです。照会して病院名や施術情報が含まれていたら、その病院名を名乗ってかかってくる連絡は今後すべて疑いリストに載せます。見知らぬ大人が何組かまで知っていることを前もって知っておくのと同じです。知っていれば驚きません。

二つ。病院やカンナムオンニの名前で先にかかってきた電話には、その場で答えない。

切ります。そして自分が知っている病院の代表番号やアプリ内の公式チャンネルに自分で直接かけます。そちらが本当に連絡したのかを尋ねます。本物の病院なら、この確認を嫌がる理由はありません。

特にこうした要求が出たら、その瞬間になりすましと見なします。リンクを押してほしい。アプリをインストールしてほしい。カードや口座の情報を教えてほしい。認証番号を読み上げてほしい。認証番号は銀行やアプリがSMSで送ってくる使い捨ての数字で、本人確認用なので他人に読み上げた瞬間、自分のアカウントを渡すのと同じです。病院のアフターケア案内にこの四つが必要なケースはありません。

推定 校門の前のルールそのままです。向こうが私をどれだけよく知っているかは判断基準ではありません。誰が先に近づいてきたかが基準です。先に近づいてきた側にはついて行きません。自分が知っている番号に自分でかけます。このルールは小学生にも、施術相談の記録が漏れた大人にも、同じように通用します。

私たちが分からないこと

このブログは、確認されていないことを確認されたことのようには書きません。今回の件でまだ分かっていないことです。

  • **誰が、なぜやったのか分かりません。**攻撃主体と目的は報道されていません。流出した情報が実際に売られたり広まったりしたかも報道されていません。だからこの記事には国籍も組織名もありません。
  • **実際になりすまし被害が出たのか分かりません。**いまは「懸念」と会社の注意喚起の段階です。この記事の電話の場面は「来る可能性のある」出来事であって、「すでに起きた」出来事ではありません。
  • **相談写真が何人分か、顔を識別できる写真なのか分かりません。**報道にありません。
  • **APIにどうやって異常アクセスが可能だったのか分かりません。**認証が甘かったのか、アカウントが乗っ取られたのかは公開されていません。
  • **個人情報保護委員会に届け出たのか、調査が始まったのか分かりません。**確認した記事のどこにも出てきません。
  • **会社の公式告知文の原文を直接見ていません。**カンナムオンニのホームページの公開ページで本文を見つけられず、アプリ内や個別通知で提供されたものと見られます。この記事の詳細項目はすべて報道基準です。

確認されていないこと: 会社の告知文の原文、個人情報保護委員会への届け出の有無、実際のなりすまし被害の発生の有無、攻撃主体と原因。この記事の数値と流出項目は4媒体の報道を相互に照合したもので、人数・国別分布・項目・日付・30日照会・捜査依頼の内容がすべて一致しました。

出典

一次出典はヒーリングペーパー(カンナムオンニ)が利用者に送った流出通知文です。公開ページで原文を確認できなかったため、以下の報道で代えます。

この記事は私たちの観測ではなく、他者の取材を材料に書いています。そのため攻撃タイムライン・MITRE・IOCブロックはありません — 存在しない資料を作って入れることはしません。すべての事実は2026年9月7日の会社発表を伝えた報道を基準に書き、会社の告知文の原文は直接確認できなかったため、本文では「報道されました」と区別しました。流出人数219,665人は情報が流出した人の数であって被害者数ではありません。攻撃主体・原因・国籍は確認されていないため書いていません。真似できるコマンド・アドレス・手順は載せません。観測日・発行日 2026-09-12。