カラオケ「ビッグエコー」などを展開する第一興商は10月8日、業務委託先がマルウェアに感染したことに起因し、顧客・従業員の個人情報が最大約872万件漏えいした可能性があると発表した。氏名、性別、生年月日、電話番号、メールアドレスなどが対象だが、本記事執筆時点で外部への公開や不正利用は確認されていない。
事案の詳細
第一興商によると、個人情報の取り扱いを委託していた日本コロムビアグループの委託先企業（NCG）の従業員端末1台が、2026年10月1〜2日にマルウェアに感染したことが発端となった。この端末を通じて、第一興商から委託していた顧客・従業員情報が外部に流出した可能性がある。
対象となる情報は、カラオケ「ビッグエコー」の会員情報など顧客分が約863万件、第一興商の従業員情報約9万件を合わせて最大約872万件に上る。漏えいした可能性がある情報項目は、氏名、性別、生年月日、電話番号、メールアドレスなどで、対象者によって含まれる項目は異なる。
クレジットカード情報やパスワードが対象に含まれるかどうか、具体的な侵入手法、マルウェアの種類、委託先企業における管理体制の詳細については、本記事執筆時点で明らかにされていない。第一興商は、情報が外部に公開された事実や、これに起因する不正利用は確認していないとしている。
影響と背景
今回の事案は、第一興商自身のシステムではなく、個人情報の取り扱いを委託していた再委託先企業の端末がマルウェアに感染したことが起点となっている。委託・再委託という多層構造の中で、どこか一つの端末が感染しただけでも、委託元が保有する大量の顧客情報に影響が及び得ることを示す事例である。
872万件という規模は、カラオケチェーンの会員基盤の大きさを反映しており、国内で2026年9月以降相次ぐ大規模情報漏えい事案の中でも際立って大きい部類に入る。
対策・今後の展望
- 利用者側：ビッグエコーの会員である場合、公式サイトやアプリからの案内を確認する。「お詫び」「ポイント進呈」などを装うフィッシングメール・SMSに注意し、リンクから個人情報を入力しない。
- 委託元企業：委託先・再委託先を含めたサプライチェーン全体のセキュリティ管理体制を点検する。端末のマルウェア対策、アクセス権限の範囲、委託先における監査・報告体制を見直す。
- 第一興商の対応：外部専門機関と連携した調査を継続し、影響範囲が判明次第、対象者への個別連絡を行う方針とみられる。公式発表の更新を継続的に確認したい。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用でも、自社ではなく委託先・再委託先の端末感染が起点となって顧客情報に影響が及ぶ相談が増えている。委託契約を結ぶ際にセキュリティ要件を定めていても、再委託先まで実効性のある管理が及んでいないケースが目立つ。
【平易な解説】例えるなら、自社の金庫は厳重に管理していても、鍵の複製を預けた先のそのまた先の業者が、鍵をうっかり落としてしまうようなものだ。情報を預けた先が「委託先」で完結していると思っていても、実際には「委託先の委託先」まで管理が及んでいるかを確認する必要がある。
【今週中にできること】自社が外部委託している業務について、委託契約書に再委託の可否と再委託先への管理要件が明記されているか確認する。次に、委託先・再委託先に対して、マルウェア対策ソフトの導入状況や端末管理の実施状況を照会する。最後に、委託先で情報漏えいが発生した場合の報告ルート・初動対応手順をあらかじめ取り決めておく。