EPARKリラク＆エステ「PeakManager」の情報漏えい（約2,218万レコード）：健康状態のメモも漏れた、サロン利用者がやること

同社の説明では、PeakManagerは各店舗が独自に顧客情報を入力・管理する台帳で、必須の項目は氏名だけ、電話番号とメールアドレスは任意です。

つまり、電話や来店で予約しただけでも、店舗があなたの名前や連絡先をPeakManagerに入れていれば対象に含まれる可能性があります。EPARKのサイトやアプリを使ったことがない人も例外ではありません。

どの店舗がPeakManagerを使っているかの一覧は公表されていません。気になる場合は、通っている店舗に尋ねるか、末尾の運営会社の窓口に問い合わせてください。

漏れたのは氏名・住所・生年月日・電話番号・メールアドレスがそろった情報で、通った店舗との関係も分かります。「お詫びのクーポン」「予約の確認」「ポイントの返金」といった名目で、本物らしい連絡を作れます。

同社は、本件を理由にメールやSMSでカード番号やセキュリティコードを尋ねることはないとしています。連絡が来たら本文のリンクは開かず、自分で店舗の公式サイトや、以前から知っている店舗の電話番号で確かめてください（見分け方は フィッシングとは）。

第一報で同社は、PeakManagerのお客様マイページにアクセスするためのパスワードが、暗号化された状態で漏えいした可能性があるとして、変更を求めました。

店舗のWeb予約でマイページを作った覚えがある人は、そのパスワードを変えてください。どこで作ったか分からない場合は、店舗に「予約のマイページはPeakManagerか」と尋ねると確実です。

暗号化の方式は公表されていません。方式によっては、元のパスワードが割り出される可能性もあります（違いは パスワードのハッシュ化とは）。

そのため、同じパスワードをメールやネット通販など他のサービスでも使っているなら、そちらも変えてください。サービスごとに別のパスワードを管理するには パスワードマネージャー が現実的です。

漏れた備考欄には、店舗が施術の申し送りとして書いた情報があり、同社によれば健康状態などの要配慮個人情報（病歴など、取り扱いに特に配慮が必要と法律で定められた情報）が一部含まれます。

自分の体の状態や通った店舗を知っている相手からの電話や勧誘は、信じてしまいやすくなります。内容が当たっていても、それだけで本物とは判断しないでください。商品の購入や支払いを求められたら、その場で決めずに電話を切り、消費者ホットライン（188）に相談できます。

個人情報保護法は、漏えい等の報告対象となる事態が起きたとき、本人が利用停止や消去を請求できると定めています（第35条第5項）。

顧客台帳を管理しているのは各店舗です。もう通っていない店舗に自分の情報が残っているなら、店舗に消去を頼めます。

今回、施術の申し送りのつもりで書かれた備考欄に、健康状態などの要配慮個人情報と、カード情報の可能性がある記載まで入っていました。自由に書ける欄は、決まりがないと何でも入ります。

書いてよいこと（施術で避ける部位など）と書かないこと（カード番号、病名の詳細など）を店内で決め、紙の問診票の内容をそのまま書き写さないようにします。

顧客から見れば、情報を預けた相手は店舗です。運営会社からの案内を待つだけでなく、問い合わせに答えられるよう、自分の店がどのシステムを使い、どの項目を登録していたかを把握しておきます。

店舗が負う法律上の責任は、サービスの契約内容や使い方によって変わります。判断に迷う場合は、個人情報保護委員会の相談窓口などに確認してください。

同社が停止したのは、不正利用されたデータベース接続用アカウントでした。全店舗の顧客情報を1つのアカウントで読める状態だと、そのアカウントの認証情報が漏れただけで全件が持ち出せます。

最初の1つとして、アプリ用・運用用・分析用などの接続アカウントの一覧を作り、それぞれがどのテーブルを何件まで読めるかを書き出します。一括で読む必要のないアカウントからは、その権限を外します。

アプリの画面からの操作では、通常、1回に1店舗分のデータしか読みません。1つの接続アカウントが短時間に複数店舗分の顧客データを読み出したら通知する設定を、データベースの監査ログやクラウドの監視機能に入れます。通常の夜間バッチの最大量を測っておき、その量を超えたら知らせるところから始めます。

今回、データは転送されたあとに削除されましたが、同社はバックアップのデータベースへの切り替えと復旧を完了しています。

一般に、本番のデータベースに接続するアカウントでバックアップまで消せる構成だと、復旧の手段も一緒に失います。本番の認証情報ではバックアップを削除できない構成になっているかを確かめます。考え方は バックアップの基本（3-2-1ルールと復元計画） にまとめています。

今回、氏名だけが必須で電話番号やメールアドレスが任意だったため、同じ人を特定できず、漏れたレコードを人数に換算できませんでした。人数が分からないと、本人への連絡も難しくなります。

必要以上の項目を集めないことと、漏えい時に本人へ連絡できるかは、両方を考えて設計する必要があります。少なくとも、どの店舗がどのレコードを登録したかを確実にたどれるようにしておけば、店舗経由で知らせる道は残ります。