EPARKリラク＆エステの予約管理システムPeakManagerに不正アクセス、最大3300万レコードの情報漏洩の恐れダークウェブでハッカーが犯行声明

株式会社EPARKリラク＆エステは2026年7月31日、同社が提供する予約管理・顧客管理プラットフォーム PeakManager の一部データベースに対して不正アクセスがあり、保管されていた個人情報が外部へ漏えいした可能性があると公表しました。これに前後する形で、ダークウェブ上のフォーラムには、PeakManagerへの侵入と大規模な顧客データの窃取を主張する投稿が確認されています。本記事では、公式発表の内容と、ダークウェブ上での主張の双方を整理してお伝えします。

EPARKリラク＆エステ「PeakManager」不正アクセス事案の概要サマリー

• EPARKリラク＆エステは2026年7月31日、PeakManagerの一部データベースへの不正アクセスと個人情報漏えいの可能性を公表しました。
• 不正アクセス自体は2026年7月27日に判明しており、当該データベースに保存されていた顧客情報が削除されていたことも確認されています。
• 漏えいの可能性がある対象データベースのレコード数は、7月31日時点で約3300万レコードとされています。
• 含まれる情報は氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化されたパスワードなどで、クレジットカード情報およびマイナンバー関連情報は含まれていないとしています。
• これとは別に、ダークウェブ上のフォーラムには、PeakManagerへの侵入と約3251万行分のデータ窃取を主張する投稿が確認されており、データベースやソースコード、内部ネットワークへのアクセス権の販売を持ちかける内容が含まれていました。
• ダークウェブ上の主張内容は本記事執筆時点で第三者による裏付けが取れておらず、件数や範囲を含め未確認情報として扱う必要があります。
• EPARKリラク＆エステは個人情報保護委員会への報告を7月30日に完了しており、顧客に対してPeakManagerマイページのパスワード変更を呼びかけています。

事案の概要（公式発表ベース）

何が起きたか

EPARKリラク＆エステによると、2026年7月27日、PeakManagerの一部データベースに対する不正な方法でのアクセスが行われ、あわせて当該データベースに保存されていた顧客情報が削除されていることが確認されました。何者かが権限のない方法でデータベースへ侵入し、データを持ち出したうえで削除まで行った可能性がある事案です。

同社は発覚後、対象データベースの運用停止とバックアップデータベースへの切り替え、不正利用されたデータベース接続用アカウントの停止、データベースおよびサーバーの認証情報変更、新サーバー・新データベースへの移管を進め、削除されたデータの復旧作業も完了させています。侵入の原因については、外部専門機関と連携しながら調査を継続している段階です。

漏えいの可能性があるデータの範囲

7月31日時点の発表では、対象データベース上のレコード数は約3300万レコードとされていますが、これはデータの件数であり、影響を受ける利用者の人数とは異なるとされています。対象人数については、調査終了後にあらためて報告するとしています。

該当レコードに含まれる可能性がある情報は、氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化された状態のパスワードです。現時点で確認されている範囲では、クレジットカード情報およびマイナンバーに関する情報は対象データベースに含まれていないとされています。パスワードは暗号化された状態での漏えいの可能性ですが、同社はマイページへのログインに使用するパスワードとして、利用者に変更を呼びかけています。

ダークウェブ上での犯行声明の内容

これとは別に、ダークウェブ上のハッキングフォーラムには、PeakManagerへの侵入とデータ窃取を主張する投稿が確認されています。投稿者を名乗るアカウントは、フォーラム内でVIPランクに位置づけられ、7月26日時点で投稿数4件、スレッド数2件、登録から5カ月程度が経過したアカウントでした。

EPARKリラク＆エステの予約管理システムPeakManagerに不正アクセス、最大3300万レコードの個人情報漏洩の可能性 ダークウェブでハッカーが犯行声明

投稿では、2026年7月19日にpeakmanager.jpへ侵入し、データベースから約3200万行分の顧客データを取得したと主張しています。

投稿によると、総行数は32,510,060行としたうえで、電話番号をキーに重複行を除去し、空欄のあて先・電話番号を除いたデータとして561万9151行と43万8865行の合計611万8016行の加工済みデータを保有しているとしています。データサイズは元データが圧縮状態で3.14ギガバイト、加工済みデータが1.11ギガバイトとされ、データベース本体やPeakManagerのソースコード、内部ネットワークおよびデータベースへのアクセス権をあわせて販売する意向が示されており、価格や連絡先情報も投稿内に記載されていました。

繰り返しですがハッカー側の主張であるため、実際の漏洩を確定させるわけではありません。

PeakManagerを利用する事業者・エンドユーザーが取るべき対応

PeakManagerはリラクゼーションサロン、整体院、エステサロン、接骨院、鍼灸院など各専門業種の予約・顧客管理に使われているプラットフォームです。今回の事案では、これらのサービスを利用する事業者と、その先の一般利用者の双方に対応が求められます。

情報システム部門が確認すべき対策ポイント

自社が直接の被害企業でない場合でも、業務委託先やSaaSベンダーで同種の事案が起きた場合に備え、以下の点を確認しておくことをおすすめします。

• 委託先・SaaSベンダーが不正アクセスを受けた場合の通知条件と初動対応フローが、契約や運用手順に明記されているか
• 委託先経由で自社の顧客情報を保管している場合、影響範囲の確認と自社顧客への通知判断を誰がどのタイミングで行うかがあらかじめ決まっているか
• ダークウェブ上で自社関連の情報が売買されていないかを確認する監視体制があるか
• 攻撃者の主張やサンプルデータに接触・拡散しないための社内ルールが周知されているか
• パスワードの使い回しを防ぐため、委託先サービスごとに異なる認証情報を利用する運用になっているか

今後確認すべきこと

EPARKリラク＆エステは現在、外部専門機関と連携して事実関係、影響範囲、原因の調査を進めています。続報では、以下の点が焦点になると考えられます。

• 侵入経路や原因の特定結果
• 実際に影響を受けた利用者数の確定
• ダークウェブ上の主張内容と公式調査結果との整合性
• 対象となる利用者への個別通知の実施状況
• 再発防止策の具体的な内容出典

出典

株式会社EPARKリラク＆エステ：不正アクセスによる個人情報漏えいの可能性に関するお知らせ（第一報）

※ダークウェブフォーラムへの投稿内容（本記事執筆時点で第三者による裏付けは確認できておらず、未確認情報として扱っています）

関連記事

NVIDIA主導のAI セキュリティ連合「Open Secure AI Alliance」が発足 日本企業含む約37社が参加 いえらぶCLOUDへの不正アクセスによるサイバー攻撃 被害 企業や概要まとめ【2026年5月29日時点】 ハッカー グループ ShinyHuntersがアーンスト・アンド・ヤング（EY）へのサイバー攻撃を主張 マネーフォワードの不正アクセス 本番DBの情報漏洩や侵害なし-銀行口座連携の再開時期は未定 マネーフォワードが約35日ぶりに全銀行口座連携を再開ーGitHub不正アクセスの全経緯 関西総合システムへのサイバー攻撃-ランサムウェア グループBrain Cipherが不正アクセスを主張 オムニバス・ジャパンのランサムウェア 被害 調査完了-関係者と従業員の個人情報流出の恐れ イエローハット 子会社、「２りんかんアプリ」の不正アクセスで最大345万5,754名分の個人情報漏洩の恐れ イエローハット 子会社「２りんかんアプリ」へのサイバー攻撃、個人情報漏洩の件数は317万9,454名分に確定

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)