30秒で分かる結論

株式会社EPARKリラク＆エステは2026年7月31日、整体院・エステサロン・リラクゼーションサロンなどが導入する予約管理・顧客管理プラットフォーム「PeakManager」の一部データベースに不正アクセスふせいあくせすがあり、保管していた個人情報が外部に漏えいした可能性があると公表しました。漏えいした可能性があるのは最大約3300万レコードで、氏名・生年月日・性別・住所・電話番号・メールアドレス・暗号化されたパスワードが対象です。同社によると、クレジットカード情報とマイナンバー関連の情報は対象に含まれていません。同社はPeakManagerのログインパスワードを変更するよう利用者に呼びかけています。

まず初めに

結論から言う。「整体の予約をしただけ」のつもりでも、その裏で動いていたシステムが3300万レコード規模の事故を起こせば、利用者は問答無用で当事者になる。自分がPeakManagerというシステム名を意識したことすらないまま被害の対象に含まれている、という構図こそが、この種の裏方システム事故の一番厄介なところだ。

何が起きているのか

同社の発表によると、2026年7月27日、PeakManagerの一部データベースへの不正アクセスが判明しました。PeakManagerは、整体院・エステサロン・リラクゼーションサロンなどの店舗が、来店予約の管理や顧客情報の管理に利用するプラットフォームです。今回、外部の第三者がこのデータベースへ不正にアクセスし、保管されていた個人情報を含むデータが外部へ持ち出された可能性があることが分かりました。

漏えいした可能性がある件数は「約3300万レコード」とされていますが、同社はこれがデータベース上のレコード数であり、影響を受けた利用者の人数とは異なる旨を明らかにしています。漏えいした可能性がある情報の項目は、氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化されたパスワードです。クレジットカード情報およびマイナンバーに関連する情報は、7月31日時点の発表では対象に含まれていないとされています。

a salon booking app on a smartphone with a warning shield icon over a customer database icon, clean flat illustration, no text or logos

同社は対応として、削除されたデータの復旧、バックアップデータベースへの切り替え、不正に利用されたデータベース接続用アカウントの停止、データベースおよびサーバーの認証情報の変更、新しいサーバー・データベースへの移行を実施したと説明しています。また、2026年7月30日に個人情報保護委員会へ本件を報告したことも公表しています。

なぜ重要なのか

PeakManagerは、整体院やエステサロン、リラクゼーションサロンなど、全国の多数の店舗が予約管理・顧客管理のために日常的に利用しているプラットフォームです。今回漏えいした可能性がある情報の中には、暗号化されているとはいえパスワードが含まれており、氏名・住所・電話番号・メールアドレスといった情報と組み合わさることで、なりすましや標的型のフィッシング詐欺などに悪用されるリスクが懸念されます。

漏えいした可能性がある件数が最大約3300万レコードという規模の大きさも、今回の事案の特徴です。同社自身が説明するとおり、レコード数と実際の対象者数は異なりますが、それでも国内の個人情報漏えい事案としては大規模な部類に入ります。

「レコード数」と「対象者数」はなぜ違うのか

「3300万レコード」という数字がそのまま3300万人分の被害だと誤解されがちですが、この点には注意が必要です。1人の利用者について、予約履歴や店舗ごとの登録情報など、複数のレコードがデータベース上に存在することがあるため、レコード数は実際の対象者数より多く出る傾向があります。とはいえ、実数がどこまで圧縮されるにせよ、この規模の発表がされる時点で、影響範囲が小さいと考える理由にはなりません。

私たちへの影響

PeakManagerを導入している整体院・エステサロン・リラクゼーションサロンなどを予約・利用したことがある人は、今回の漏えいの対象に含まれている可能性があります。自分の情報が対象かどうかは、通常であれば店舗側またはEPARKリラク＆エステからの個別の案内で確認することになりますが、現時点の公表内容では対象者への個別通知の詳細までは明らかにされていません。

同社はPeakManagerのログインパスワードの変更を利用者に呼びかけています。特に、PeakManagerで使っていたパスワードを他のサービスでも使い回している場合は、それらのサービスのパスワードもあわせて変更することが安全です。パスワードは暗号化された状態で保管されていたとされていますが、暗号化されていても解読される可能性がゼロではないため、念のための変更が推奨されます。

初心者が知っておくべきこと

「暗号化されたパスワード」とは、パスワードをそのままの文字列（平文）で保存するのではなく、第三者が読み取ってもすぐには元の文字列が分からない形に変換して保存する方法です。適切な暗号化がされていれば、漏えいしてもすぐに悪用されるリスクは下がりますが、暗号化の強度や、パスワードを他のサービスと使い回しているかどうかによって、実際のリスクは変わります。そのため、暗号化されていたという説明があっても、対象サービスを使っていた人はパスワードを変更しておくことが安全です。

一つのパスワードを複数のサービスで使い回していると、どこか1つのサービスから漏えいした場合に、他のサービスにも不正にログインされる「パスワードリスト攻撃」の被害に遭う可能性があります。パスワードに加えてもう一つの確認手段を設定する二段階認証を使っておくと、仮にパスワードが漏えいしても不正ログインを防ぎやすくなります。

a person changing their password on a laptop with a checklist of accounts to update, clean flat illustration, no text or logos

よくある質問

Q. 自分がPeakManagerを直接使った覚えがなくても対象になりますか？

A. PeakManagerは店舗側が予約管理・顧客管理のために使うシステムであり、利用者本人がPeakManagerというサービス名を意識せずに、店舗の予約サイトを通じて情報を登録していた場合も対象に含まれる可能性があります。心当たりのある店舗を予約したことがある場合は、パスワードの使い回しがないかを確認しておくと安心です。

Q. クレジットカード情報は大丈夫ですか？

A. 同社の7月31日時点の発表では、クレジットカード情報およびマイナンバーに関連する情報は今回の漏えいの対象に含まれていないとされています。ただし、調査が進むことで対象範囲が更新される可能性もあるため、同社からの続報を確認することが推奨されます。

IT Postの見方

IT Postでは、今回のように予約サイトの裏側で使われる業務システムが不正アクセスを受ける事案は、利用者が直接そのシステム名を意識していないだけに、自分が対象になっているかどうかに気づきにくいという課題があると考えます。中小の店舗が導入する予約・顧客管理システムのセキュリティ対策は、店舗単体では対応が難しい部分も多く、システムを提供する事業者側が迅速に原因を調査し、分かりやすく情報を開示し続けることが、利用者・店舗双方の信頼を保つ上で重要だと考えます。

今後どうなりそうか

同社は、新たな事実が判明した場合は速やかに公式サイトなどを通じて発表するとしています。個人情報保護委員会への報告も行われていることから、今後、対象者への具体的な通知方法や、原因の詳細な調査結果が続報として公表される可能性があります。PeakManagerを導入する店舗を利用したことがある人は、続報を確認しつつ、心当たりのあるサービスのパスワードを見直しておくことが引き続き有効です。