エステサロンや整体院などの予約サービスを手がける株式会社EPARKリラク＆エステは2026年7月31日、同社が提供する予約管理・顧客管理プラットフォーム「PeakManager」の一部データベースが第三者による不正アクセスを受け、個人情報を含む約3,300万レコードが外部へ漏えいした可能性があると公表した。データベース上の顧客情報が削除されていたことから発覚したもので、同社は利用者にログインパスワードの変更を呼びかけている。
データベースの顧客情報削除で発覚
同社の発表（第一報）によると、2026年7月27日、不正な方法によりPeakManagerの一部データベースへのアクセスが行われたこと、および当該データベースに保存されていた顧客情報が削除されていることを確認したという。侵入経路など発生原因の詳細は、外部専門機関と連携して調査を進めているとしている。
PeakManagerは、リラクゼーションサロンや整体院などの店舗が予約や顧客情報を管理するためのプラットフォームで、報道によると同社はアイフラッグの子会社（東京都港区）だ。店舗をまたいで大量の顧客データを預かる基盤サービスが標的となった形だ。
約3,300万レコードに氏名・住所・電話番号など
2026年7月31日時点で、漏えいした可能性のある対象データベース上のレコード数は約3,300万レコードとされる。同社はこれについて「こちらはデータ件数であり、対象人数とは異なります」と説明しており、影響を受ける人数は調査のうえ改めて報告するとしている。
当該レコードには、氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化されたパスワードなどの個人情報が含まれる。一方、現時点で確認している範囲では、クレジットカード情報およびマイナンバーに関する情報は対象データベースに含まれていないという。
復旧・封じ込めは完了、パスワード変更を呼びかけ
同社は第一報の時点で、削除されたデータの復旧作業、対象データベースの運用停止とバックアップデータベースへの切り替え、不正利用されたデータベース接続用アカウントの停止、データベースとサーバーの認証情報の変更、新サーバー・新データベースへの移管をいずれも完了したとしている。また、個人情報保護法に基づき、2026年7月30日に個人情報保護委員会へ報告を行った。
暗号化された状態のパスワードが漏えいした可能性があることから、同社は被害拡大の防止のため、PeakManagerのマイページにアクセスするためのパスワードを変更するよう利用者に求めている。個人情報の漏えいが確認された場合や、法令に基づく個別の通知が必要と判断した場合には、対象となる利用者へ速やかに連絡するとしている。
予約プラットフォームに集まるデータの重み
今回の事案が示すのは、業種特化型のSaaS（クラウド型ソフトウェア）・予約プラットフォームに顧客データが集中することのリスクだ。個々のサロンや整体院にとって、予約管理システムの導入は業務効率化の定番だが、その裏側では多数の店舗の顧客情報が単一の基盤に集約される。攻撃者から見れば、1回の侵入で得られるデータ量が桁違いに大きい「効率の良い標的」になる。
約3,300万レコードという規模は、国内の情報漏えい事案としても大きい部類に入る。氏名・住所・電話番号・メールアドレスの組み合わせは、フィッシングメールや不審な電話・SMSといった二次被害に悪用されやすい。対象となり得る利用者は、パスワードの変更に加え、同じパスワードを他のサービスで使い回している場合はそちらの変更も検討したい。サロンや店舗名をかたる不審な連絡にも警戒が必要だ。
また、本件では顧客情報の「削除」が確認されており、情報が漏えいした可能性にとどまらず、データの破壊・消去にまで踏み込まれている点も見逃せない。事業者にとっては、漏えい対策と同時に、バックアップと復旧体制の整備が事業継続の生命線になることを示す事例といえる。影響人数や原因の詳細は今後の続報で明らかになる見込みで、引き続き同社の発表に注意したい。