2026年7月31日、「EPARKリラク＆エステ」社が提供する予約・顧客管理システム「PeakManager（ピークマネージャー）」のデータベースに、第三者からの不正アクセスが判明。
保管されていた個人情報が外部へ流出した可能性があるという。
対象となるサービスは「EPARK リラク＆エステ」で、PeakManagerはエステサロンや整体院、リラクゼーションサロン、接骨院、鍼灸院などに導入されている。
| ニューストピックス ◆事案発生日：2026年7月27日 ◆問題発生した場所：PeakManagerのデータベース ◆原因：第三者による不正アクセス ◆影響人数：約3300万件（データ件数。同一利用者の複数レコードが含まれるため、実際の対象人数は調査中） ◆流出した可能性がある情報：氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化されたパスワード、その他予約サービスに関連する情報（※クレジットカード情報およびマイナンバー情報は保存されていないため対象外） ◆事案により影響があった外部あるいは関係組織：PeakManagerを導入しているエステサロン、整体院、リラクゼーションサロン、接骨院、鍼灸院などの加盟店舗、個人情報保護委員会 ◆対応状況：対象データベースの運用停止とバックアップへの切り替え、不正利用されたアカウントの停止、認証情報変更、新サーバー・新データベースへの移管を完了。7月30日に個人情報保護委員会へ報告済み。現在も影響範囲の特定と原因究明を進めており、利用者に対してログインパスワードの変更と不審な連絡への注意を呼びかけ中。 |
発表によると、2026年7月27日に不正な方法で一部データベースへのアクセスが行われたことが判明しており、保管されていた顧客情報が削除されていたという。
7月31日の調査時点で情報が流出した可能性があるレコード数は約3300万件に上るとされているが、これはデータ件数であり、同一利用者の複数レコードが含まれるため実際の対象人数とは異なり、現在も調査中としている。
流出した可能性がある情報には、氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化されたパスワード、その他予約サービスに関連する情報が含まれていたとのこと。
なお、クレジットカード情報およびマイナンバー情報は対象データベースに保存されていないことから流出対象外だという。
侵入経路や悪用された脆弱性、攻撃手法、ランサムウェアの有無、攻撃者の特定などの技術的な詳細、影響を受けた加盟店舗数や個人ごとの対象範囲については調査中で、8月5日現在、実際の情報流出の確定や、流出データの悪用・不正利用といった二次被害は確認されていない。
同社は不正アクセスの発覚後、削除されたデータの復旧作業、対象データベースの運用停止とバックアップへの切り替え、不正利用された接続用アカウントの停止、データベースおよびサーバーの認証情報変更、新サーバー・新データベースへの移管をすでに完了している。
また、7月30日には個人情報保護委員会へ報告を行っている。
同社は引き続き、影響範囲の特定や原因究明、セキュリティ対策の強化を進めており、未判明の事項に関しては調査結果がまとまり次第、追加情報を公表するとしている。
個人情報の流出が確認された場合や、関係法令に基づく個別の通知が必要と判断した場合には、対象者へ速やかに連絡する方針。
利用者に対しては、「PeakManager」のマイページにアクセスするためのログインパスワードの変更を行うとともに、不審なメールや電話などに十分注意するよう呼びかけている。
一方で公式発表とは別に、ダークウェブ上のハッキングフォーラムにおいて「PeakManager」への侵入と約3251万行のデータ窃取を主張する投稿があるとする情報もある。
投稿にはデータベースやソースコード、内部ネットワークへのアクセス権を販売する内容も含まれていたとされるが、これらは第三者による裏付けが取れておらず、未確認情報となる。