株式会社EPARKリラク&エステは9月24日、7月31日に公表した同社提供の予約管理・顧客管理プラットフォーム「PeakManager」への不正アクセスについて、第二報を発表した。
同社では7月27日に、不正な方法で「PeakManager」の一部データベースへのアクセスが行われたこと、当該データベースに保存されていた顧客情報が削除されていることを確認していた。
同社にて外部専門機関と連携して調査した結果、第三者からの不正アクセスで、顧客情報を保管するデータベース内の情報が外部に転送されたこと、その後、データベース内のデータが削除されたことを確認している。なお、具体的な侵入経路と手法については、同種の攻撃を誘発するおそれがあることから、公表を差し控えるという。
同社で、漏えいした可能性がある対象データベース上の約3,300万レコードについて、電話番号やメールアドレスが一致するものを同一人物と判断し、重複を除外する名寄せを実施した結果、約2,218万レコードであることを確認している。同社では、約2,218万レコードを正確な個人の人数に置き換えることは困難であると判断し、個人情報保護委員会にも報告を行っている。
また、漏えいした個人情報の項目には氏名、フリガナ、生年月日、性別、住所、電話番号、メールアドレス、加盟店が施術の申し送り等として入力した備考欄の記載情報（健康状態等、要配慮個人情報に該当する情報を一部含む）が含まれている。備考欄には、クレジットカード情報に該当する可能性のある情報が5件記載されていた。
同社では、情報管理体制およびセキュリティ対策の見直し・強化を進めるとのこと。
