第一興商の委託先（日本コロムビアグループ）従業員PCのマルウェア感染（ビッグエコー等の顧客約863万件・従業員約9.3万件の漏えいのおそれ）
公表日
カラオケ「ビッグエコー」などを運営する第一興商で、個人情報の作業を任せていた委託先のパソコン1台がウイルスに感染しました。顧客と従業員の情報 最大約872万件が漏えいしたおそれがあります。
対象者は？
ビッグエコー、DKダイニング関連の飲食店、カラオケCLUB DAM、メガビッグ、バナナクラブ、B-GARAGEで会員登録や予約をした方（約863万件）と、第一興商グループの従業員（約9.3万件）です。合わせて最大約872万件で、外部への流出は確認されていません。対象は氏名（登録名）・性別・生年月日・メールアドレス・電話番号で、パスワードは含まれていません。会社は、この情報だけではポイントは使えないとしています。
会社は問い合わせ窓口（電話・メール）を設けています。対象のブランドと件数は公式のお知らせで確認できます。
いますぐできること
- ビッグエコーやDAMなどを名乗るメール・SMSのリンクは開かない。会社はパスワードやカード情報を尋ねることはないと案内しています
- 登録した電話番号やメールアドレスに、生年月日や名前を知っているような不審な連絡が来ても応じない
何が起きたのか
第一興商は、個人情報の取り扱いを日本コロムビアグループ（NCG）に委託していました。2026年10月1〜2日、NCGの従業員が使うパソコン1台がマルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。（悪意のあるソフト）に感染していることが分かり、10月2日にネットワークから切り離されました。このパソコンには、委託された作業のために顧客と従業員の個人データが一時的に保存されていました。NCGは10月5日に第一興商へ報告し、第一興商は10月8日に公表しました。
なぜ起きたのか・なぜ広がったのか
マルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。の種類や、どうやって感染したかは、まだ公表されていません。第一興商のシステムそのものには影響は確認されていません。件数が大きくなったのは、複数のブランドの会員・予約データが、委託先のパソコン1台に保存されていたためです。そのパソコンに保存していた理由や期間も公表されていません。
いまの状況2026-10-09 時点続報待ち
NCGは外部の専門機関と、実際にデータが外に送られたかどうかを含めて調査しています。2026年10月9日時点で、外部への流出や不正利用は確認されていません。第一興商は、委託先の管理のあり方を見直して強化するとしています。調査結果と再発防止策は、まだ発表されていません。
企業として考えたいこと
自社のお客様の情報は、委託先のどのパソコンに、いつまで置かれているでしょうか。作業のために渡したデータが、作業後に消されているかを確かめていますか。
技術的な要約
第一興商は2026年10月8日、個人情報の取扱いを委託している日本コロムビアグループ（NCG）の従業員PC1台がマルウェアに感染し、当該PCに一時的に保管されていた委託業務の個人データについて漏えいのおそれがあると公表した。NCGは10月1〜2日に感染を把握し、10月2日に端末をネットワークから隔離、10月5日に第一興商へ報告した。対象はビッグエコー・DKダイニング等の会員登録・予約に関する顧客情報 約863万1,000件（ブランド間の重複約51万5,000件を除いた数）と従業員情報 約9万3,000件の計約872万4,000件で、項目は氏名（登録名）・性別・生年月日・メールアドレス・電話番号。パスワードは含まれず、外部流出・不正利用・第一興商システムへの影響はいずれも確認されていない。マルウェアの種類・感染経路・攻撃者は非公表で、NCGが外部専門機関と調査中。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認第一興商の公式発表（2026-10-08）では、個人情報の取扱いを委託している日本コロムビアグループ（NCG）の従業員が使用するPC1台がマルウェアに感染し、そのPCに第一興商の委託業務に関する個人データが一時的に保管されていた。第一興商自身のシステムへの影響は確認されていない（確定）。PCへの感染経路（メール添付、Webからのダウンロード、USB等）、マルウェアの種類（情報窃取型か、ランサムウェアの前段か等）は非公表。NCGが認証情報のパスワード等をリセットしていることから、認証情報の窃取も想定した対応と読めるが、窃取の事実は公表されていない。ASCIIは当初「不正アクセス」と報じ、10/9 10:27に「マルウェア感染」へ訂正している。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品の有無は公表されていない。マルウェアの種類・感染経路も非公表で、NCGと外部専門機関が調査中（10/9時点）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 店舗営業・予約サービス等の停止は公表されていない。第一興商のシステムへの影響は確認されていないとしている。NCG側では感染端末をネットワークから隔離し、認証情報をリセット。
- データ
- おそれ上限 8,724,000確定 —件氏名性別生年月日メール電話従業員情報合計 約872万4,000件＝顧客情報 約863万1,000件＋従業員情報 約9万3,000件（SBクリエイティブ ビジネス+IT・セキュリティ対策Lab・ACTの整理、いずれも第一興商公表に基づく）。顧客情報のブランド別内訳：ビッグエコー関連 約555万8,000件、DKダイニング関連 約346万2,000件、カラオケCLUB DAM関連 約7万4,000件、メガビッグ関連 約4万3,000件、バナナクラブ関連 約5,000件、B-GARAGE関連 約4,000件（計 約914万6,000件から重複 約51万5,000件を差し引いて約863万1,000件）。項目は氏名（登録名）・性別・生年月日・メールアドレス・電話番号。パスワードは含まれず、この情報だけでポイントは利用できないとしている。外部流出・不正利用・ポイント不正利用は10/9時点で未確認。件数は「現時点で確認できた範囲」の概数。
- 波及先
- —
- ビッグエコー会員・予約者（約555万8,000件）
- DKダイニング関連の顧客（約346万2,000件）
- カラオケCLUB DAM・メガビッグ・バナナクラブ・B-GARAGEの顧客
- 第一興商グループの従業員（約9万3,000件）
- 金銭影響
- —
- サプライチェーン
- 第一興商（委託元）→日本コロムビアグループ（NCG、委託先）の従業員PCという構造。第一興商の本番システムではなく、委託業務のために委託先の端末に一時保管されたデータのコピーが感染端末上にあったため、委託元のシステムが無事でも約872万件が漏えいのおそれとなった。報道（innovatopia）によればNCGは株式会社フェイスの会社分割により2025年10月に設立された会社。第一興商とNCGの資本関係（グループ内委託か）、委託業務の内容（メール配信・データ分析等か）は確認した範囲では公表されていない。
時系列
技術解説
公表された事実の骨格 事実
確定しているのは次の点。(1) 委託先NCGの従業員PC1台がマルウェアに感染し、10月1〜2日に判明、10月2日にネットワークから隔離。(2) そのPCには第一興商の委託業務に関する個人データが「一時的に」保管されていた。(3) NCGは10月5日に第一興商へ報告し、第一興商は10月8日に公表した（判明から公表まで約1週間、委託元への報告まで約3日）。(4) 対象は顧客約863万1,000件と従業員約9万3,000件、項目は氏名・性別・生年月日・メールアドレス・電話番号でパスワードは含まない。(5) 外部流出・不正利用・第一興商システムへの影響は未確認。マルウェアの種類、感染経路、端末に保管されていた期間と目的、攻撃者、当局報告の有無は確認した範囲で公表されていない。以上は第一興商の公式発表（dkkaraoke.co.jp、2026-10-08掲載、更新履歴の表記なし）で確認した。公式発表は個人情報保護委員会への報告の有無に触れていない。
件数の構造：ブランド横断の名寄せ済みデータが1台に 事実
顧客情報はビッグエコー約555万8,000件、DKダイニング約346万2,000件、カラオケCLUB DAM約7万4,000件、メガビッグ約4万3,000件、バナナクラブ約5,000件、B-GARAGE約4,000件の計約914万6,000件から、重複約51万5,000件を差し引いた約863万1,000件と説明されている。ブランド間の重複を数えられるということは、複数ブランドの会員・予約データが同じ端末上にまとまっており、少なくとも件数算出の段階で名寄せされていたことを意味する。これに従業員情報約9万3,000件も加わる。カラオケ・飲食という一般消費者向け事業で、生年月日・電話番号・メールアドレスが紐づいたリストは、なりすましや年齢層を絞った詐欺に使いやすい。一部報道は内訳の合計が合わないと指摘したが、6ブランドを合計すると約914万6,000件で、公表値と整合する。
本番システムの外にあるコピーが最大の攻撃面（推測を含む） 解釈
第一興商のシステムは無事でも、委託業務のために抽出されたデータが委託先従業員の端末に「一時的に」置かれていたことで、約872万件が漏えいのおそれとなった。データ集計・名寄せ・配信リスト作成など、CSVやExcelでの作業を端末上で行う運用だった可能性がある（推測、業務内容は非公表）。端末向けマルウェアの多くは情報窃取型（インフォスティーラー）で、ブラウザ保存の認証情報やローカルファイルを外部に送る。NCGが認証情報をリセットした点はこの想定と整合するが、マルウェアの種類は公表されていない。いずれにせよ、DLP・持ち出し制限・仮想デスクトップ（VDI）で「端末にデータを置かない」設計であれば、1台の感染で数百万件規模になることは避けられた可能性が高い。
委託先管理と「おそれ」段階の公表 解釈
個人情報保護法では、委託元は委託先に対して必要かつ適切な監督を行う義務を負う（第25条）。漏えい等が「不正の目的をもって行われたおそれ」のある事態や1,000人を超える事態では、委託元が個人情報保護委員会へ速報（把握から概ね3〜5日以内）・確報を行い、本人へ通知する必要がある。本件は委託先での把握（10/1〜2）から委託元への報告（10/5）まで約3日、委託元の公表（10/8）までさらに3日を要した。流出確認を待たずに上限件数とブランド別内訳を出した点は、利用者が自分が対象かを判断しやすい公表といえる。一方、端末にデータを置いた理由、保管期間、委託契約上のデータ取扱い条件は示されておらず、委託先管理の実態は不明である。当局報告の有無も確認した報道には記載がない。
委託先グループの過去の侵害との関係（未確認） 解釈
委託先が属する日本コロムビアのグループでは、2025年7月17日にネットワーク機器の脆弱性を悪用したサーバへの不正アクセスが発生し、2025年8月8日に第1報、2026年3月31日に調査結果が公表されている（セキュリティ対策Labの報道による。直接的な持ち出しの痕跡はないが第三者に閲覧された可能性は否定できないとし、対象には日本コロムビアグループ株式会社の従業員情報も含まれていた）。今回の従業員PCのマルウェア感染とこの2025年の侵害に関係があるかは、第一興商の発表にも確認した報道にも記載がなく不明である。同一グループで1年余りの間に2件目の侵害が公表された事実は、委託元が委託先選定・監督時に委託先グループのインシデント履歴と是正状況を確認すべきことを示す（解釈）。
対応
- 封じ込め
- NCGが10/2に感染端末をネットワークから隔離し、認証情報のパスワード等をリセット。外部専門機関と漏えいの有無を含む原因・被害範囲を調査中。第一興商は自社システムへの影響は確認されていないとしたうえで、念のため利用システムの点検を行い、不正利用の兆候の監視、NCGと外部専門機関の調査結果・再発防止策の確認、委託先管理のあり方の検証と強化を表明。利用者にはなりすましメール・フィッシング・不審なSMS・電話への注意を呼びかけ、パスワードやカード情報を尋ねることはないと案内。
- 公表の仕方
- 2026-10-08に第一興商が公表（dkkaraoke.co.jp。karaokeclub.jpにも同題で掲載）。件数のブランド別内訳、項目、パスワード非含有、未確認事項を明示。公式発表時点の問い合わせ窓口は電話03-3280-3702（平日10〜17時）とメール incident-desk@dkkaraoke.co.jp、報道向け03-3280-2774で、フリーダイヤルは「準備中」と記載。10/9にフリーダイヤル0120-732-079が開設された（報道）。個人情報保護委員会への報告の有無は公式発表に記載がない。委託先NCG自身の公表は検索の範囲では確認できなかった。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先従業員の端末に委託元の個人データが一時保管されていた | 委託業務は委託元が用意したVDI・クラウド上の作業環境に限定し、端末へのダウンロードをCASB/DLPで禁止する。やむを得ずファイル受け渡しする場合はレコード件数の上限、暗号化、作業後の削除と削除証跡の提出を契約で義務づける |
| 1件の作業のために全ブランド・全会員のデータが渡っていた可能性 | 委託業務ごとに必要な列・行だけを抽出して渡す（例：配信用ならメールアドレスと配信用ID、分析用なら生年月日を年代に、電話番号はハッシュ化）。抽出クエリをレビュー対象にし、渡したデータの件数・項目を台帳に記録する |
| エンドポイント感染でブラウザ保存認証情報やローカルファイルが窃取されうる | 委託先にもEDRの導入とアラートの共有を求め、ブラウザへのパスワード保存を禁止、業務SaaSはFIDO2等の耐フィッシングMFAとデバイス認証（条件付きアクセス）で保護する。感染時は該当端末から使われたセッション・トークンを即時失効させる |
| 委託先での判明から委託元への報告まで約3日かかった | 委託契約に「個人データを扱う端末・システムで侵害の疑いを把握したら24時間以内に委託元へ第一報」を明記し、連絡窓口と報告項目（端末・データ・件数・隔離時刻）をテンプレート化する。個人情報保護委員会への速報期限から逆算した社内フローを作っておく |
| 大量の生年月日・電話番号・メールの組み合わせはなりすましに使われやすい | 公式メール・SMSの送信ドメインにDMARC p=reject を設定し、SMSは送信元を固定する。お詫び・注意喚起の連絡にはリンクやパスワード入力を含めず、ポイント交換など金銭価値のある操作に追加認証をかける |
自組織などでの確認項目
- 自社が委託先に渡している個人データは、委託先のどの環境（サーバ、SaaS、従業員PC）に置かれているか。従業員のPCにCSVで残っていないか、確認する手段はあるか。
- 委託業務で本当に必要な項目・件数だけを渡しているか。全会員を丸ごと渡している業務はないか。
- 委託先で端末1台の感染が分かったとき、何時間以内に自社へ連絡が来る契約になっているか。その連絡から個人情報保護委員会への速報までの判断者は誰か。
- 漏えいが確定していない「おそれ」の段階で、ブランド別の件数まで公表するか。自社なら公表の判断基準をどこに置くか。
未解明点
- マルウェアの種類（情報窃取型か、ランサムウェアの前段か等）と感染経路
- 委託業務の内容、委託先端末に個人データを保管していた理由と保管期間
- 端末上のデータが実際に外部へ送信されたかどうか（通信ログの調査結果）
- 第一興商と日本コロムビアグループの資本関係（グループ内委託かどうか）、NCG自身の公表の有無、2025年7月の日本コロムビアへの不正アクセスとの関係
- 個人情報保護委員会への報告の有無と、本人への個別通知の方針
出典
- 1第一興商2026-10-08公式本文確認済
- 2第一興商2026-10-08公式未確認
- 3ASCII.jp2026-10-09報道本文確認済
- 4ビジネス+IT（SBクリエイティブ）2026-10-09報道本文確認済
- 5セキュリティ対策Lab（Rocket Boys）2026-10-08報道本文確認済
- 6株式会社アクト2026-10-09研究者本文確認済
- 7innovatopia2026-10-09報道本文確認済
- 8NOVAIST2026-10-09報道本文確認済
- 9london3.jp2026-10-08報道本文確認済
- 10セキュリティ対策Lab（Rocket Boys）2026-04-01報道本文確認済