第一興商は2026年10月8日、個人情報の取扱いを委託している日本コロムビアグループ株式会社(以下、NCG社)から、同社従業員の端末がマルウェアに感染し、第一興商の顧客情報が漏えいしたおそれがあると報告を受けたと公表しました。漏えいのおそれがある件数は、総合計で約8,724,000件です。
第一興商は、実際に外部へ漏えいした事実と、この件に起因する不正利用は現時点で確認されていないとしています。また、第一興商のシステムへの影響も確認されていないとしています。この記事は、第一興商の公表をもとに、起きたこと、会社の対応、自社で確かめることを整理します。
何が起きたか(委託先の端末がマルウェアに感染)
第一興商の公表によると、経緯は次のとおりです。
| 日付 |
内容 |
| 2026年10月1日〜2日 |
NCG社の従業員の端末(PC1台)でマルウェアの感染が判明 |
| 2026年10月2日 |
NCG社が、当該端末をネットワークから隔離 |
| 2026年10月5日 |
NCG社から第一興商へ報告 |
| 2026年10月8日 |
第一興商が公表(10月9日に問い合わせのフリーダイヤルを追記) |
NCG社は、第一興商が個人情報の取扱いを委託している会社です。感染した端末には、第一興商が委託した業務に関する個人データが一時的に保管されており、これが漏えいしたおそれを否定できない、とされています。NCG社は、認証情報であるパスワード等はリセット済みで、漏えいの有無を含め原因や被害範囲を調査中と報告しています。
今回は、第一興商自身のシステムが攻撃されたのではなく、個人データを預けていた委託先の端末が感染した、という構図です。
漏えいのおそれがある情報と件数
第一興商の店舗で会員登録や予約をした顧客の情報のうち、現時点で判明している範囲で、氏名(登録名)、性別、生年月日、メールアドレス、電話番号が漏えいしたおそれがあるとされています。
第一興商の公表の内訳。漏えいのおそれがある件数は総合計 約8,724,000件出典: 第一興商「委託先における個人情報漏えいのおそれについて」(引用)
内訳は、ビッグエコー関連が約5,558,000件、DKダイニング関連が約3,462,000件、カラオケCLUB DAM関連が約74,000件、メガビッグ関連が約43,000件、バナナクラブ関連が約5,000件、B-GARAGE関連が約4,000件です。重複を差し引いた顧客情報の合計は約8,631,000件で、従業員情報の約93,000件を合わせた総合計が約8,724,000件です。
第一興商は、漏えいのおそれがある情報にパスワードは含まれておらず、この情報だけで顧客のポイントは使えないとしています。クレジットカード番号も、漏えいのおそれがある項目には挙げられていません。
会社の対応
第一興商が公表している対応は、次のとおりです。
- 状況の監視を続け、不正利用の兆候を確認した場合は必要な措置を講じる
- 念のため、第一興商が利用するシステムの点検を進める
- NCG社と外部の専門機関による原因調査と再発防止策を確認する
- 第一興商における委託先管理のあり方を検証し、必要な強化策を講じる
- 調査で新たな事実が判明した場合は、対象の範囲や対応策を含めて速やかに知らせる
顧客向けには、なりすましメールやフィッシング詐欺に注意し、身に覚えのないリンクや添付ファイルを開かないよう呼びかけています。第一興商から、パスワードやクレジットカード情報を尋ねることはない、ともしています。問い合わせ窓口は、フリーダイヤル 0120-732-079(平日10時〜17時)と、メール incident-desk@dkkaraoke.co.jp です。
NCG社(日本コロムビアグループ)自身の公表は、2026年10月13日に確認した範囲では見つかりませんでした。
同じ時期に相次ぐ会員情報の漏えい
2026年10月は、会員情報の漏えいの公表が相次いでいます。いずれも別の会社の別の事案ですが、漏えいした項目(氏名、メールアドレス、電話番号など)が、なりすましやフィッシングに悪用されるおそれがある点は共通します。
今回の第一興商の件は、委託先の端末の感染が原因という点が、これらとは異なります。
影響する人・会社、しない人・会社
- 影響する(人): ビッグエコー、メガビッグ、カラオケCLUB DAM、バナナクラブ、B-GARAGE、DKダイニングで会員登録や予約をしたことのある人です。なりすましメールやフィッシングに注意します。
- 影響する(会社): 第一興商やNCG社と取引・共同事業のある会社です。自社の担当者の情報が含まれる可能性があれば、窓口で確かめます。
- 影響する(会社・確認が要る): 自社の顧客データや個人データを外部に委託している会社です。今回と同じく、委託先の端末の感染で漏えいが起きる構図があり得ます。
- 影響しない: 上記に当てはまらない会社と、対象の店舗を使っていない人です。ただし、他社をかたるフィッシングは誰にでも届くため、注意そのものは続けます。
会社・情シスが今日やること
- 社内に注意喚起する。 漏えいのおそれがあるのは、氏名・メールアドレス・電話番号などです。これらはフィッシングやなりすましの材料になります。第一興商をかたる不審なメール・SMS・電話に注意し、身に覚えのないリンクや添付を開かないよう、社内に周知します。
- 委託先の棚卸しをする。 自社の顧客データや従業員の個人データを、どの委託先に、どの範囲で預けているかを一覧にします。今回のように、委託先の端末にデータが一時的に保管される運用がないかも確かめます(編集部の補足)。
- 委託先の端末対策と報告の流れを確かめる。 委託先の端末に、マルウェア対策や不審な動きの検知の仕組みがあるか、感染時に自社へどれだけ早く報告が来るかを確かめます。今回は、感染の判明(10月1〜2日)から委託元への報告(10月5日)まで数日でした(編集部の補足)。
- 自社が対象なら窓口を確認する。 第一興商やNCG社と取引がある場合は、問い合わせ窓口で自社の関係を確かめ、社内の対応を決めます。
- 契約と規程を見直す。 委託契約に、インシデント時の通知の期限や、データの保管・廃棄の取り決めが入っているかを確かめます。個人情報の取扱いの委託先の監督は、個人情報保護法でも求められています(編集部の補足)。
書かれていないこと
- マルウェアの種類や、感染の経路
- 実際に外部へ漏えいした事実の有無(第一興商は「おそれを否定できない」としています)
- NCG社が預かるほかの委託元への影響
- NCG社(日本コロムビアグループ)自身の公表(2026年10月13日時点で確認できませんでした)
- 個別の対象者への通知の時期や方法の詳細
2026年10月13日時点の内容です。第一興商は、新たな事実が判明した場合は速やかに知らせるとしています。
