情報流出騒動の経緯
女性向け風俗店（いわゆる「女風」）のグループが使う予約管理システムに第三者が不正アクセスし、個人情報が流出した。グループの一部店舗が2026年10月30日、公式サイトで流出を認めた。集英社オンラインが11月3日に利用者の不安の声を報じ、それ以前から情報セキュリティのニュースサイト「セキュリティ対策Lab」が10月29日以降、続報を出している。
セキュリティ対策Labによると、対象とされるのは女性向け風俗グループ「東京秘密基地」。同日13時50分、グループ店舗の「神戸秘密基地」が公式サイトに「個人情報流出に関するお知らせ」を掲載した。集英社オンラインはグループ名を伏せ、「某有名女性向け風俗店グループ」として報じている。
店側が認めたこと
セキュリティ対策Labがまとめたお知らせの要点は次のとおり。
- 「グループで使用する予約管理システム」への第三者の不正アクセスと、個人情報の流出を確認した
- 確認された侵入経路は遮断済みで、その経路から新しい予約情報が取られる状態ではないことをシステム管理会社と確認した
- 関係機関や専門会社と連携し、原因の究明と再発防止に取り組む
一方、お知らせには流出した情報の種類、対象人数、発生時期、具体的な侵入経路は書かれていないという。集英社オンラインによると、記者がグループの本店に問い合わせたところ担当者は「折り返し連絡する」と答えたが、記事の時点でまだ返事はなかった。個人情報保護委員会や警察に届け出たかどうかは、どちらの報道でも明らかになっていない。
攻撃者側の主張と未確認の点
両方の報道によると、「Mumei no Kai（無名の会）」を名乗るアカウントが10月26日付でネット掲示板に投稿し、情報を持っていると主張した。セキュリティ対策Labが伝える主な数字は次のとおり。
| 項目 | 攻撃者が主張する規模 |
|---|---|
| 対象店舗 | 96店舗 |
| 会員の基本情報 | 5万8573人 |
| 従業者（セラピストなど）の情報 | 5331人 |
| 注文・利用履歴 | 63万1481件 |
| 店舗管理用SNSの認証情報 | 553組 |
| 実名と結び付けたとする利用者 | 約2700人（うち住所まで特定したとするのは約1400人） |
攻撃者は、10月13日以降に運営側へ何度も接触し、10月25日の期限までに交渉が成立しなかったため公開を広げたと主張している。投稿には会員の利用状況や、従業者の顔写真などのサンプルが含まれていたという。
ただし、これらの数字はいずれも攻撃者の自己申告だ。集英社オンラインは「確認済みの被害人数ではない」と書き、セキュリティ対策Labも、全件が本物かどうか、流出経路、実際の被害範囲はまだ確定していないとしている。店側が認めた流出の範囲が攻撃者の公開データと一致するかどうかも、明らかになっていない。
「偽名登録」でも安心できない理由
集英社オンラインの取材に応じた利用者は、不安を語っている。
- 利用歴3年の40代女性は、普段使う店では携帯電話番号とメールアドレスの登録だけで、本名は求められなかったという。「自分のした後ろめたいことは、いずれバレると思わなくてはいけないのでしょうか」と話した
- 30代の元利用者は「最悪です…」と述べ、身の守り方が分からないと語った
利用者の間には「偽名やニックネームで登録しているから大丈夫では」という声もある。しかしセキュリティ対策Labの河野拓氏は、ほかの漏えい情報と共通点があれば身元を推測される可能性があると指摘している。電話番号は複数のサービスで共通して使われることが多く、照合の手がかりになりやすい。攻撃者も、外部の情報と照合して実名や住所を特定したと主張している。
報道が挙げる注意点
2つの報道が利用者に勧めている主な対策は次のとおり。
- 不審な連絡が続く場合は、電話番号の変更を検討する（全員が一律に変える必要はないとされる）
- 届いたメッセージのURLは開かず、認証コードやパスワード、身分証を送らない
- 脅迫を受けても要求に応じず、記録を残して警察（緊急は110番、相談は#9110）に相談する
- セラピストのSNSアカウントが乗っ取られている可能性があるため、そこを通じて住所などを送らない
- 流出データが載っているとされるサイトを自分で探して見に行かない
- 「削除代行」や「口止め料」を持ちかける便乗詐欺に注意する
また、情報セキュリティに詳しい元利用者の女性は集英社オンラインに対し、攻撃者の主張を無条件に信じたり、興味本位で広めたりすると「攻撃者の思惑に加担する可能性があります」と話している。
背景：「性的プライバシー」を扱う業態のリスク
今回の騒動が重いのは、流出したとされる情報の多くが性的サービスの利用歴という、本人が最も知られたくない種類のものだからだ。クレジットカード番号の流出なら、カードを止めれば被害の拡大はある程度防げる。しかし「誰がいつどの店を利用したか」という情報は、一度出回ると取り消せない。家族や勤務先に知らせると脅す性的脅迫（セクストーション）の材料にもなりうる。
女性向け風俗は近年、店舗数が急増している業態だ。予約や顧客管理を共通システムで行うグループ展開やフランチャイズ化が進めば、1か所が破られたときの影響は多くの店舗に広がる。セキュリティ対策Labは、店舗スタッフが内部メモ欄に客の住所などを書き込んでいたとする攻撃者の主張も紹介している。事実であれば、業務上必要な範囲を超えた記録が被害を大きくしたことになる。
同時に、被害を受けるのは客だけではない。攻撃者は、セラピストなど従業者の顔写真や本名、振込口座の情報も持っていると主張している。性風俗の仕事をしていることを周囲に伏せて働く人は多く、従業者側の被害はより深刻になりかねない。
個人情報保護法は、要配慮個人情報の漏えいや、本人の数が1000人を超える漏えいなどが起きた場合、事業者に個人情報保護委員会への報告と本人への通知を義務付けている。店側が流出の範囲をどこまで調べ、利用歴を周囲に知られない方法でどう本人に知らせるのか。業界全体の個人情報管理のあり方も問われている。
本記事は集英社オンライン（2026年11月3日配信）、セキュリティ対策Lab（2026年10月29日・31日掲載）の報道をもとに構成しています。攻撃者が主張する数値はいずれも未確認です。