対応中最終更新 2026-09-24
株式会社EPARKリラク＆エステ
情報通信（リラクゼーションサロン等向け予約管理・顧客管理プラットフォーム「PeakManager」提供） ／ 未公表 ／ 東京
不正アクセス情報漏洩サプライチェーン波及
株式会社EPARKリラク＆エステは2026年7月31日、同社が提供する予約管理・顧客管理プラットフォーム「PeakManager」の一部データベースが第三者による不正アクセスを受け、保管されている個人情報が外部へ漏えいした可能性があると公表した（7月27日判明）。データベースに保存されていた顧客情報の削除も確認した。9月24日の第二報では、フォレンジック調査によりデータベース内の情報が外部へ転送されたことを確認したと公表し、名寄せ後の対象を約2,218万レコード（人数への換算は困難）とした。漏えい項目には氏名、生年月日、住所、電話番号、メールアドレスのほか、加盟店が入力した備考欄の情報（健康状態等の要配慮個人情報を一部含む）が含まれる。PeakManagerは各店舗が顧客情報を入力・管理する台帳であり、利用店舗の顧客情報が影響を受けた。
用語をタップで解説 ›
きっかけ・侵入経路
公式発表侵入経路
2026年7月27日、不正な方法によりPeakManagerの一部データベースへのアクセスが行われたこと、及び同データベースに保存されていた顧客情報が削除されていることを確認。不正利用されたデータベース接続用アカウントを停止した。具体的な侵入経路・手法は、同種の攻撃を誘発するおそれがあるとして公表を差し控えている（9月24日第二報）。
攻撃者公式発表では攻撃者は公表されていない。報道（セキュリティ対策Lab）によれば、ダークウェブのハッキングフォーラムで匿名の投稿者がPeakManagerへの侵入と顧客データ取得を主張した（攻撃者主張、グループ名不明、未確認）。
被害・漏洩
公式発表漏洩件数
推定・上限（漏洩の可能性）
第一報（7月31日）：漏えいした可能性のある対象データベース上のレコード数は約3,300万レコード（データ件数であり対象人数とは異なる）。
実際の漏洩はこれより少ない場合があります
確認済み（確定値）
第二報（9月24日）：フォレンジック調査により、顧客情報を保管するデータベース内の情報が外部へ転送されたことを確認。電話番号・メールアドレスによる名寄せ等の精査後で約2,218万レコード。正確な個人の人数への置き換えは困難と判断している。
漏洩した情報の種類
氏名フリガナ生年月日性別住所電話番号メールアドレス暗号化されたパスワード備考欄記載情報（健康状態等の要配慮個人情報を一部含む）クレジットカード情報に該当する可能性のある情報（5件）
含まれない情報：マイナンバーに関する情報は含まれていない（第一報時点の確認範囲）。クレジットカード情報は第一報で「含まれていない」としたが、第二報で訂正（備考欄に該当する可能性のある記載5件）。
組織が把握できていないこと
影響を受けた加盟店（店舗）名・店舗数は公表されていない。対象人数は確定されていない。
対応と結末
公式発表経営層への説明に効く身代金の要求
不明
身代金の支払い
不明
企業が公表していません
復旧手段
7月31日時点で、削除されたデータの復旧、対象データベースの運用停止とバックアップデータベースへの切替え、不正利用されたデータベース接続用アカウントの停止、データベース・サーバーの認証情報変更、新サーバー・新データベースへの移管を完了。7月30日に個人情報保護委員会へ報告。外部専門機関によるフォレンジック調査を実施。利用者にPeakManagerマイページのパスワード変更を依頼。
再発防止策
情報管理体制およびセキュリティ対策の見直し・強化を進めているとしている（具体策は未公表）。
経緯
2026-07-27
検知
不正な方法によるPeakManagerの一部データベースへのアクセスと、同データベースに保存されていた顧客情報の削除を確認。
2026-07-30
初動対応
個人情報保護法に基づき個人情報保護委員会へ報告。
2026-07-31
公表
「不正アクセスによる個人情報漏えいの可能性に関するお知らせ（第一報）」を公表。約3,300万レコードが漏えいした可能性。データ復旧、バックアップDBへの切替え、接続用アカウント停止、認証情報変更、新環境への移管を完了。
2026-09-24
調査完了
「不正アクセスと個人情報漏えいに関するお知らせ（第二報）」を公表。フォレンジック調査で外部転送を確認、約2,218万レコード、備考欄に要配慮個人情報を一部含む、カード情報該当の可能性5件（第一報の訂正）。
影響
顧客情報の外部転送PeakManagerのデータベース内の情報が外部へ転送されたことを確認（約2,218万レコード、人数換算は困難）。
データ削除データベースに保存されていた顧客情報が削除された。7月31日時点で復旧済み。
要配慮個人情報加盟店が施術の申し送り等として入力した備考欄の記載情報（健康状態等）が漏えい項目に含まれる。
サプライチェーン波及
取引先・委託先・子会社への波及
PeakManager利用店舗（加盟店。店舗名・店舗数は未公表）EPARKリラク＆エステが提供する予約管理・顧客管理プラットフォーム「PeakManager」を利用し、自店の顧客情報を入力・管理する店舗PeakManagerは各店舗が独自に顧客情報を入力・管理する台帳であり、利用店舗の顧客の氏名・連絡先・備考欄情報等がデータベースから外部へ転送された（9月24日第二報）。個別店舗の公表は本記録では確認していない。
出典
最終更新 2026-09-24