- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.09.24
- 原因の分類
- 侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 予約・顧客管理サービスから顧客情報が外部へ転送された。
- 氏名や電話番号などの約2,218万レコードが漏えいした可能性がある。
- 同社は情報管理体制とセキュリティ対策の見直し・強化を進める。
EPARKリラク&エステは、同社提供の予約管理・顧客管理プラットフォーム「PeakManager」で、2026年7月27日に一部データベースへの不正なアクセスと顧客情報の削除を確認していた。外部専門機関との調査では、第三者による不正アクセスによりデータベース内の情報が外部へ転送され、その後データが削除されたと確認している。名寄せ後で約2,218万レコードの個人情報が漏えいした可能性があり、要配慮個人情報も一部含まれる。侵入経路と手法は公表されていない。
確認された経路・公表元の推定
- 2026年7月27日、不正な方法で「PeakManager」の一部データベースへのアクセスが行われ、顧客情報が削除されたことを確認した。
- 外部専門機関と連携して調査し、第三者からの不正アクセスを確認した。
- 顧客情報を保管するデータベース内の情報が外部に転送され、その後データが削除された。
- 漏えいした可能性がある約3,300万レコードを名寄せした結果、約2,218万レコードであることを確認し、個人情報保護委員会へ報告した。
根拠の要点
第二報で、外部専門機関と連携した調査により、第三者による不正アクセスと、データベース内の情報の外部転送を確認したと説明している。侵入経路と手法は同種の攻撃を誘発するおそれから公表を差し控えており、原因の確度は判断できない。
資料の基準時点：2026年10月13日（記事掲載・取得日）
当時、対策できたのか
判定保留
侵入経路と手法は公表を差し控えており、攻撃時点で既知の脆弱性への対応や認証設定などの防御条件が資料から判断できないため。
公表された対策
- 情報管理体制およびセキュリティ対策の見直し・強化を進める
この事例を理解するための動画
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 具体的な侵入経路と手法（同種の攻撃を誘発するおそれから公表を差し控え）
- 侵入の日時
- 漏えいした個人の実人数（約2,218万レコードを個人数に置き換えることは困難と判断）
- 備考欄にクレジットカード情報に該当する可能性がある情報が5件あった影響
- 漏えいした情報が悪用されたかどうか