PeakManager約2,218万レコードの情報漏えい、漏れた住所・電話番号・施術のメモで何をされるのかまとめました

2026年9月24日、株式会社EPARKリラク＆エステは、同社が提供する予約管理・顧客管理プラットフォーム「PeakManager」への不正アクセスについて、第二報を公表しました[1]。顧客情報を保管するデータベース内の情報が外部へ転送されたことが確認され、名寄せ後の件数は約2,218万レコードとしています[1]。漏えいした項目には、住所・電話番号などに加え、施術の申し送りを書く備考欄（健康状態など要配慮個人情報を一部含む）があるとしています[1]。クレジットカード情報を入力する項目は設計上ないとされていますが[1]、それで安心とは言い切れません。

「自分の住所や施術のメモで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、サロンと利用者の両方で認証が関わる場所を、公開情報から整理しました。事故の経緯は報道でも扱われているため[4]、短くとどめます。

この記事の要点

• 名前・住所・生年月日に加え、施術のメモまで知っている相手からの偽メール・偽SMS・偽の電話が届きやすくなります。
• PeakManagerのマイページのパスワードを、他のサービスでも使っている人は変えておくと安心です。操作はメールのURLからではなく、公式のサイトから行ってください。
• 会社側がまず見直したいのは、サロンの管理画面とシステムの接続に使うアカウントの確認方法です。

なお、本記事は公表文や公式のよくある質問など、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

第一報[2]と第二報[1]によると、概要は次のとおりです。

第一報では、対象のレコードに「暗号化されたパスワード等」が含まれるとし、PeakManagerのお客様マイページのパスワード変更をお願いしていました[2]。第二報の項目一覧には、パスワードは挙がっていません[1]。また第一報では、不正利用されたデータベース接続用アカウントを停止し、データベースとサーバーの認証情報を変更したとしています[2]。

親会社の株式会社EPARKは、自社と各事業会社のシステムへの不正アクセスではないとしています[3]。

漏れた情報で、何ができてしまうか

PeakManagerは、各店舗がお客様情報を入力・管理する台帳だとされています[1]。サロンに伝えた情報や施術の記録が対象になった形です。

住所や生年月日は、パスワードと違って本人が変えることがほぼできません。体の状態についてのメモも同じです。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

このサービスで認証が使われる場所

今回の事故は、サロン向けの業務システムで起きました。サロンのスタッフ・管理者が使う場所と、利用者が使う場所の両方を、公開情報で確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

第二報では、情報管理体制とセキュリティ対策の見直し・強化を進めているとしています[1]。一方で、管理画面やシステムのログインの確認方法を変えるといった具体的な記載は、公表文にはありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 管理する側のアカウントに、パスワード以外の確認を足す。今回の事故では、データベースの接続用アカウントが不正に利用されました[2]。管理画面も含め、ここに「持っているか」の確認を足すことが、まず効くと考えられます。
2. 利用者のパスワード変更と再設定の流れを固める。第一報で変更をお願いしている以上[2]、再設定の場面を装った偽メールが増えると考えられます。再設定にメール以外の確認をもう一つ足す形が考えられます。
3. 窓口や電話での本人確認から、漏れた項目を外す。氏名・生年月日・住所・電話番号が合えば本人、という扱いになっていないか。仕組みを作り直さなくても、運用の見直しから始められます。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、多くの電話番号と住所が漏れました。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は、もう多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[12]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今の管理画面や会員ログインの流れを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら