第一興商、個人情報約872万件の漏えい懸念で調査結果を公表　マルウェアに外部送信機能、送信範囲は特定できず

カラオケ「ビッグエコー」などを展開する第一興商は11月6日、業務委託先の端末がマルウェアに感染し、顧客と従業員の個人情報約8,724,000件が漏えいしたおそれがある問題について、外部専門機関によるフォレンジック調査の結果を公表した。マルウェアには端末内の情報を外部へ送信する機能があり、外部サーバーとの不正な通信も確認されたが、実際に送信された情報の内容や範囲は特定できなかった。この問題は、10月8日の発表を受けて前回の記事で伝えた。

事案の詳細

10月8日の発表によると、同社が個人情報の取り扱いを委託している日本コロムビアグループ（NCG社）で、2026年10月1日から2日にかけて従業員の端末（PC1台）のマルウェア感染が判明し、10月2日に端末をネットワークから隔離した。この端末には、第一興商が委託した業務に関する個人データが一時的に保管されていた。第一興商は10月5日にNCG社から報告を受けた。

漏えいしたおそれがあるのは、同社の店舗で会員登録や予約をした顧客の情報約8,631,000件と、従業員情報約93,000件の合計約8,724,000件。項目は氏名（登録名）、性別、生年月日、メールアドレス、電話番号で、パスワードは含まれていないとしている。

今回公表した調査結果では、委託先が使用していた端末で、マルウェア感染と外部サーバーとの不正な通信が確認された。また、このマルウェアには端末内の情報を外部へ送信する機能が認められた。一方で、実際に外部へ送信された情報の内容や範囲は特定できず、現時点で本件に起因する個人情報の流出や不正利用などの事実は確認されていないという。調査では、遠隔操作が実施されたと考えられる痕跡は確認されず、調査開始時点でマルウェアの機能は無害化されていたことも確認したとしている。

影響と背景

同社は10月8日の時点で、個人情報が実際に外部へ漏えいした事実は確認していないものの、漏えいの可能性を否定できないとして公表していた。今回の調査で、マルウェアが情報を外部へ送る機能を持ち、外部サーバーとの不正な通信があったことまでは確認されたが、何が送られたかは特定できなかった。

同社は10月26日から、影響を受けた可能性のある顧客にSMSなどで個別に連絡しており、11月6日の発表でも、SMSやメールなどによる個別の案内を進めているとしている。

対策・今後の展望

第一興商は、委託先におけるセキュリティ対策の強化と、同社による委託先管理体制の見直しを進めている。あわせて、同社と委託先での個人情報の取り扱い状況について緊急点検を実施し、グループ全体の個人情報管理体制と情報セキュリティ体制を強化するとしている。新たに知らせるべき重要な事実が判明した場合は、速やかに公表する方針。

同社は、情報が悪用された場合に備え、不審なメールやSMS、電話に注意し、身に覚えのないリンクや添付ファイルを開かないよう呼び掛けている。同社からパスワードやクレジットカード情報などを尋ねることはないとしている。問い合わせは、お客様お問い合わせ窓口（0120-732-079、午前10時〜午後5時、土・日・祝日を除く）で受け付けている。

CSRIからのアドバイス

今回の調査結果は、「外部へ送る機能があり、外部との通信もあったが、何が送られたかは分からない」というものだった。情報を盗むタイプのマルウェアでは、通信の中身が記録として残っていないと、後から送信内容を確かめるのは難しい。委託元にとっては、漏えいが「確認されていない」ことと「起きていない」ことは同じではない、という前提で対応を考える必要がある。

例えるなら、空き巣が入った形跡と、荷物を運び出せる袋を持っていた形跡はあるのに、防犯カメラがなく、何を持ち出したかは分からない状態に近い。被害の有無を確かめられるかどうかは、事前に記録を残していたかで決まる。

今週中にできることとして、企業は個人データを預けている委託先に、端末にEDRなどのマルウェア対策が入っているか、通信やファイル操作のログをどれだけの期間保存しているかを確認したい。あわせて、委託先の端末に個人データを一時保管させていないか、業務が終わったデータを消す決まりがあるかも点検しておきたい。個人では、第一興商を名乗るSMSやメールが届いても、記載のリンクから個人情報を入力せず、公式サイトに掲載された窓口で確認するようにしたい。

参照: 第一興商「委託先における個人情報漏えいのおそれに関する外部専門機関による調査結果および今後の対応について」（2026年11月6日）／同「委託先における個人情報漏えいのおそれについて」（2026年10月8日、10月26日・11月6日追記）