EPARKリラク＆エステ（PeakManager）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年7月31日、EPARKリラク＆エステは、リラクゼーション・エステの店舗向けの予約・顧客管理の仕組み「PeakManager」への第三者の不正アクセスを公表しました（第一報、対象は約3300万レコード）。第一報では、顧客情報のデータが削除されていたことも公表しています。 9月24日の第二報では、外部の専門機関の調査で、顧客情報のデータベースの情報が外部へ転送されていたことが確かめられたとしています。 対象は名寄せの結果、約2218万レコードに整理されました。氏名・住所・電話番号・メールアドレスなどと、店舗が入力した備考欄の情報（健康状態など要配慮個人情報を一部含む）が対象です。 第一報で含まれないとしていたクレジットカード情報は、備考欄に5件の記載があったと訂正しています（いずれも有効期限切れ）。侵入の経路と手法は公表されていません。

会社の対応

• 外部の専門機関による調査と対象データの精査。削除されたデータは復旧済み
• 個人情報保護委員会への報告
• 情報管理の体制とセキュリティ対策の見直し・強化。新しい事実が分かれば公表するとしています
• 不審なメール・SMS への注意の呼びかけ、専用の問い合わせ窓口の設置

この事例から中小企業が学べること

• 予約・顧客管理のクラウドに預けた情報は、サービスの会社が攻撃されると自社の客の情報として漏れる。何を預けているかを把握しておく
• 備考欄など自由記入の欄に、カード番号や健康状態を書かない決まりを作る
• 委託先から漏えいの連絡を受けたときの判断と連絡の手順を決めておく
• 続報で件数や情報の種類が変わることがある。最初の発表だけで判断せず、続報を確かめる