カンナムオンニの情報流出を確認する方法は？写真・施術歴・決済情報や運営会社を調査

韓国発の美容医療アプリ「カンナムオンニ（現在の日本向け名称はUnni）」で、大規模な個人情報流出が発生しました。

日本の利用者も約4万8000人が対象となっており、「自分の情報は流出したのか」「登録した写真も含まれるのか」「決済情報とはクレジットカード番号のことなのか」と不安を感じている人も多いのではないでしょうか。

この記事では、流出の有無を確認する方法をはじめ、対象となった情報、国別の人数、不正アクセスの経緯、運営会社Healing Paperについて確認します。

カンナムオンニの情報流出を確認する方法

カンナムオンニは、日本語版公式サイト上に「個人情報漏洩の有無を確認」という確認窓口を設けています。

確認する場合は、SMSやメールに記載されたリンクからではなく、検索やブックマークなどからカンナムオンニの公式サイトを直接開くほうが安全です。

運営会社は、対象となった利用者へ個別に通知すると説明しています。

ただし、通知が届いていないことだけで「流出していない」と判断せず、心当たりがある場合は公式サイトの確認窓口を利用してください。

確認できる期間は、告知から30日間と案内されています。

退会済みの利用者も対象になる？

現時点で公表されている案内では、退会済み利用者が対象に含まれるかどうかは明確に示されていません。

過去にカンナムオンニまたはUnniへ登録し、相談・予約・決済などを行ったことがある場合は、念のため公式窓口で確認するか、日本法人へ問い合わせるのが安全です。

何の情報が流出した？

運営会社が公表した流出対象項目は多岐にわたります。

ただし、以下の情報が全利用者から一律に流出したわけではありません。利用状況によって、対象となった項目は異なります。

登録した写真も流出した？

公表された流出項目には、予約・相談時に登録した写真が含まれています。

美容医療の相談では、顔や身体の悩みを伝えるために写真を登録する場合があります。一般的な連絡先情報と比べても、プライバシー性の高い情報です。

ただし、写真を登録した全利用者の画像が流出した、あるいは対象者全員から写真が流出したとは発表されていません。

施術歴やクリニック名も対象？

相談した施術名だけでなく、クリニック名、医師名、予約日時、実際に受けた施術、来院・施術日時なども流出対象に含まれています。

これは「美容医療に興味を持っていた」という情報にとどまりません。

利用者によっては、どのクリニックで、いつ、どのような施術を受けたのかを推測できる情報が含まれる可能性があります。

今後、流出情報を悪用し、利用したクリニックやUnniの運営会社を装って連絡してくる可能性にも注意が必要です。

決済情報にクレジットカード番号は含まれる？

公表された流出項目には「決済情報」が含まれています。

具体的には、次のような情報です。

• 決済金額
• 決済方法
• 決済日時
• 注文・取引識別番号
• 決済者の氏名と連絡先
• 使用したポイント
• 決済オプション名と数量

一方、現時点で公表された今回の流出項目には、クレジットカード番号、カードの有効期限、セキュリティコードは記載されていません。

そのため、「決済情報が流出した」ことだけを根拠に、クレジットカード番号そのものが流出したと断定することはできません。

同様に、ログインパスワードも公表された流出項目には含まれていません。

ただし、不審な決済がないか、カードや決済サービスの利用明細を当面確認しておくと安心です。

利用者が今すぐ行いたい対策

今回流出した相談内容やクリニック名を利用すれば、一般的な迷惑メールより信じやすい文面を作ることができます。

「以前相談した施術の割引」「予約内容の確認」「返金手続き」などを装い、外部サイトへ誘導する連絡には特に注意してください。

なぜ個人情報が流出した？

運営会社によると、2026年9月4日、相談履歴を照会するシステムの一部APIに不正なアクセスが発生しました。

APIとは、アプリやウェブサイトがサーバー内の情報を呼び出すための仕組みです。

本来は、認証された利用者が、自分に許可された情報だけを取得できるように管理されます。

一度経路を遮断された後、同じ攻撃者が別の経路から再びアクセスを試みたとされているため、偶発的に情報が公開されたのではなく、情報の取得を目的とした意図的なサイバー攻撃だった可能性が高いと考えられます。

ただし、攻撃者が具体的にどの脆弱性を利用したのかは公表されていません。

認証情報が盗まれたのか、APIのアクセス制御に問題があったのか、別のプログラム上の脆弱性が悪用されたのかは現時点では不明です。

また、流出した情報が第三者へ販売・公開された事実も、現時点では確認されていません。

流出した21万9665人の国別内訳

流出対象は韓国だけではなく、日本、台湾、タイ、中国など海外の利用者にも広がっています。

日本の対象者は全体のおよそ22％を占め、韓国に次いで多くなっています。

なお、韓国と日本は「約」で公表されているため、表に記載された各国の数字を単純に足しても合計と完全には一致しません。

カンナムオンニは何のためのアプリ？

カンナムオンニは、美容医療や美容整形を検討している人が、施術やクリニックを検索・比較し、相談や予約までできるサービスです。

日本向けサービスでは「Unni」の名称も使用されています。

主な機能は次のとおりです。

• 美容整形・美容皮膚科の施術を検索
• 施術内容や料金、キャンペーンを比較
• クリニック・医師を検索
• 利用者の口コミや施術前後の写真を閲覧
• クリニックへの相談・予約
• 一部サービスの決済
• 韓国で美容医療を受けるための情報収集

単なる美容情報アプリではなく、相談、予約、来院、決済まで美容医療の一連の流れに関わるサービスです。

このため、氏名やメールアドレスだけでなく、相談した内容や施術履歴、登録写真などもシステム上で扱われていました。

運営会社Healing Paperは大手？ベンチャー？

カンナムオンニを運営しているのは、韓国・ソウルに本社を置くHealing Paper Co., Ltd.です。

サムスンなどの財閥系大企業ではなく、美容医療とITを組み合わせた未上場のベンチャー企業です。

一方、2012年の設立から10年以上が経過し、海外展開や大型の資金調達も行っているため、現在は小規模な新興企業というより、成長後期のスタートアップ、いわゆるスケールアップ企業に近い存在です。

会社としてはベンチャー系ですが、カンナムオンニは韓国の美容医療分野で大規模に展開するサービスです。

また、相談写真や施術履歴など、極めてプライバシー性の高い情報を扱うため、その事業規模とサービス内容に見合った厳格な情報管理が求められる企業だといえます。

韓国本社はソウル・江南区

Healing Paperの韓国本社は、ソウル特別市江南区テヘラン路142にあります。

美容医療クリニックやIT企業が集まる江南エリアで、地下鉄2号線・駅三（ヨクサム）駅の近くです。

カンナムオンニを運営するHealing Paper韓国本社周辺

日本法人は東京・渋谷に所在

Healing Paperは日本市場へ本格的に進出し、2020年11月に日本法人「株式会社Healing Paper」を設立しています。

現在、公式サイトに掲載されている日本法人の所在地は、東京都渋谷区道玄坂1丁目19-2 スプラインビル3階です。

株式会社Healing Paper日本法人周辺

韓国企業のアプリではありますが、日本にも法人と運営拠点を置き、日本の美容医療市場へ本格的に展開していることが分かります。

ただし、今回不正アクセスを受けたシステムを韓国本社と日本法人のどちらが直接管理していたのかは公表されていません。

日本法人が情報を流出させたと断定することはできず、国内拠点の存在とシステムの管理責任は分けて考える必要があります。

まとめ

カンナムオンニ（Unni）では、2026年9月4日に相談履歴を照会するAPIが不正アクセスを受け、日本の利用者約4万8000人を含む21万9665人の個人情報が流出しました。

流出した可能性がある情報には、氏名や連絡先だけでなく、予約時の登録写真、相談した施術、クリニック名、実際の施術履歴、決済関連情報などが含まれています。

一方、今回公表された流出項目には、ログインパスワードやクレジットカード番号そのものは記載されていません。

利用者によって流出した項目は異なるため、過去に利用したことがある人は、公式サイトの「個人情報漏洩の有無を確認」から個別に確認することが重要です。

また、流出した相談内容や施術情報を使い、Unniやクリニックを装う連絡が届く可能性があります。不審なSMS・メールのリンクを開かず、公式サイトを直接確認してください。

今後、攻撃手法や管理体制、二次被害などについて新しい発表があれば追記します。

参照：Unni（カンナムオンニ）公式サイト、
中央日報日本語版、
FNNプライムオンライン、
スピーダ スタートアップ情報