EPARKリラク＆エステに不正アクセス｜第二報で約2218万件・カード情報5件

リラクゼーション・エステの店舗向けの予約・顧客管理の仕組み「PeakManager」を運営する EPARKリラク＆エステが2026年9月24日、不正アクセスの第二報を公表しました。 外部の専門機関の調査で、顧客情報のデータベースの情報が外部へ転送されていたことが確かめられたとしています（EPARKリラク＆エステの発表。データの削除は第一報で公表済み）。 対象は約2218万レコードで、PeakManager を使う店舗の客の情報です。

公表された内容

• 確かめられたこと：顧客情報を保管するデータベースの情報が外部に転送され、その後データが削除された。削除されたデータは復旧済みで、ほかの自社システムに影響が及んだ痕跡は確認されていないとしています
• 件数：第一報の約3300万レコードから、電話番号やメールアドレスが同じものを同じ人としてまとめ、約2218万レコードに整理したとしています（9月24日の発表）。正確な人数に置き換えるのは難しいとしています
• 情報の種類：氏名・フリガナ・生年月日・性別・住所・電話番号・メールアドレスと、店舗が施術の申し送りとして入力した備考欄の情報。備考欄には健康状態など要配慮個人情報にあたるものを一部含むとしています
• クレジットカード情報（訂正）：第一報では含まれないとしていましたが、備考欄にカード情報にあたる可能性のある記載が5件あったと訂正しました。入力の項目はなく任意に書かれたもので、いずれも有効期限は過ぎているとしています
• 原因：侵入の経路と手法は、同じ攻撃を招くおそれがあるとして公表されていません
• 二次被害：本件による不正利用や金銭の被害は、9月24日の時点で確認されていないとしています

経緯

• 2026年7月31日：第一報。PeakManager への第三者の不正アクセスと、顧客情報のデータの削除を公表（対象は約3300万レコード）
• 2026年9月24日：第二報。外部への転送を確認、対象を約2218万レコードに整理、カード情報5件を訂正。個人情報保護委員会へ報告済みとしています

会社の対応

• 外部の専門機関による調査と、対象データの精査
• 情報管理の体制とセキュリティ対策の見直し・強化
• 新しい事実が分かれば速やかに公表するとしています
• メールや SMS でカード番号などを求めることはないとして、不審な連絡に応じないよう呼びかけています。専用の問い合わせ窓口を設けています

中小企業が今日からできること

• 予約・顧客管理のサービスに何を預けているか確かめる：店舗や事務所で使っている予約・顧客管理のクラウドに、どんな項目（備考欄を含む）を入れているかを一覧にする
• 備考欄・自由記入の欄に書かない決まりを作る：カード番号・健康状態などは、自由記入の欄に書かないと決め、すでに書いてあるものは消す。項目にない情報も漏えいの対象になる
• 委託先の連絡を受けたときの手順を決める：サービスの会社から漏えいの連絡があったとき、自社の客への連絡・個人情報保護委員会への報告が要るかどうかを誰が判断するかを決めておく
• 客への不審な連絡に備える：店舗の名前をかたるメールや SMS が客に届くおそれがあるため、「店からカード番号を聞くことはない」と客に知らせる文面を用意しておく