UDリテール等グループ4社の時計修理委託先へのランサムウェア攻撃による顧客情報流出のおそれ
公表日
UDリテールなど小売り4社は、時計修理の委託先サーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（専用の鍵がないと読めない状態に変換すること）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、修理を依頼した顧客情報が漏えいした可能性があると公表しました。
対象者は？
2025年9月以降にドン・キホーテやMEGAドン・キホーテUNYなどの対象店舗で時計の修理を依頼した顧客（氏名、一部の住所・電話番号。クレジットカード情報やパスワードは含まれていません）。
親会社のパン・パシフィック・インターナショナルホールディングスが設置したお問い合わせ窓口で確認できます。
いますぐできること
- 店舗や修理窓口を名乗る不審な電話、SMS、郵便物などに注意し、身に覚えのない要求には応じないでください。
何が起きたのか
2026年9月15日、小売り4社の時計修理を請け負う委託先のサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（専用の鍵がないと読めない状態に変換すること）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、データが暗号化されました。委託先は外部接続を遮断し、9月25日に委託元へ報告しました。調査を進めた結果、10月28日に顧客情報が漏えいした可能性があるとして公表されました。
なぜ起きたのか・なぜ広がったのか
委託先のサーバーが外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（専用の鍵がないと読めない状態に変換すること）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染したためです。具体的な侵入経路や悪用された脆弱性については公表されていません。また、サーバーが暗号化されたまま復元できていないため、調査に時間を要しています。
いまの状況2026-10-28 時点続報待ち
暗号化されたサーバーは復元に至っておらず、専門機関による調査が続けられています。現時点で情報の不正利用などの二次被害は確認されていません。対象人数などはまだ発表されていません。
企業として考えたいこと
自社の業務を委託しているパートナー企業のセキュリティ事故発生時に、迅速な報告と状況把握ができる体制が整っていますか？
技術的な要約
UDリテール株式会社を含むパン・パシフィック・インターナショナルホールディングス傘下の小売り4社は、時計の修理業務を委託している株式会社コックスのサーバーが不正アクセスを受け、ランサムウェアにより暗号化されたと2026年10月28日に発表した。委託先は同年9月15日に攻撃の可能性を検知して外部接続を遮断し、9月25日に委託元へ報告した。漏えいの可能性があるのは、2025年9月以降にグループ店舗で時計修理を依頼した顧客の氏名、一部の住所および電話番号である。発表時点で対象人数や件数は公表されておらず、暗号化されたサーバーの復元には至っていない。現時点で情報の不正利用などの二次被害は確認されておらず、専門機関による調査が継続されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表文において委託先サーバーへの具体的な侵入経路は示されていない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性や具体的な原因に関する情報は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 委託先において顧客情報を含むサーバーがランサムウェアにより暗号化され、閲覧不能となった。公表時点でもサーバーは復元できていない。
- データ
- おそれ上限 —確定 —人氏名住所電話番号対象人数および件数は非公表。漏えいの可能性がある情報は氏名、住所（一部）、電話番号（一部）。クレジットカード番号や認証パスワードは含まれていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 時計修理業務を委託している株式会社コックスのサーバーがランサムウェア攻撃を受け、委託していた顧客情報が暗号化され漏えいのおそれが生じた。
時系列
- 2025-09
- 2026-09-15
- 2026-09-15
- 2026-09-25
- 2026-10-28
- 2026-10-28
- 2026-10-28
- 2026-10-28
技術解説
委託先における検知と委託元への報告経緯 事実
2026年9月15日、UDリテールを含むグループ4社が時計修理業務を委託している株式会社コックスにおいて、自社サーバーへのサイバー攻撃の可能性が検知され、データが暗号化されて閲覧不能な状態であることが確認された。同社は攻撃を受けたサーバーの外部経路からの接続を遮断し、9月25日に委託元グループへ報告を行った。その後、4社およびコックスは個人情報保護委員会へ報告し、10月28日に顧客情報漏えいの可能性を公表した。公表時点で委託先サーバーは復元に至っておらず、専門機関による調査が継続されている。漏えいの可能性があるのは、2025年9月以降に対象店舗で時計修理を依頼した顧客の氏名、一部の住所および電話番号であり、対象人数や件数は公表されていない。また、クレジットカード情報やパスワードは含まれておらず、二次被害は確認されていない。
サーバー暗号化に伴う調査の難航と漏えい確認の遅延 解釈
本件では、ランサムウェアによってサーバー内のデータが暗号化されたことが、被害実態の把握やフォレンジック調査を難航させる大きな要因になったと考えられる。通常、不正アクセスの調査ではアクセスログやファイル操作履歴を詳細に解析して外部へのデータ持ち出しの有無を判定するが、ストレージ全体やシステムが暗号化されてしまうと解析作業そのものが著しく制約される。また、発表時点でサーバーが復元できていないという事実から、利用可能なバックアップが存在しなかったか、バックアップも含めて侵害・暗号化された可能性が推測される。その結果、データが実際に外部に持ち出されたかどうかの確定が困難となり、公表においても漏えいの可能性を完全に否定できないという慎重な表現にとどまることになったと解釈できる。
サプライチェーンにおける委託先管理と初動エスカレーションの課題 解釈
本インシデントは、サプライチェーンにおける委託先管理の難しさを象徴している。委託元の小売4社自体の店舗システムが直接侵害されたわけではないものの、時計修理という特定業務を委託した外部パートナーのサーバー侵害により、自社の顧客情報が脅威に晒される結果となった。さらに、委託先が異常を検知した9月15日から委託元へ報告した9月25日まで10日間のタイムラグが生じており、委託先におけるエスカレーション手順や緊急連絡体制に課題があったことがうかがえる。自社内のセキュリティ対策をいくら強化していても、顧客データを扱う委託先のセキュリティ基準やインシデント対応規程が不十分であれば、委託元企業全体の信用や法的責任に直結するリスクがあることを示している。
対応
- 封じ込め
- 検知当日の2026年9月15日に、委託先である株式会社コックスが攻撃を受けたサーバーについて外部経路からの接続を遮断した。
- 公表の仕方
- 2026年10月28日にUDリテール、ドン・キホーテ、長崎屋、橘百貨店の4社がウェブサイト上で共同リリースを発表し、親会社PPIHにお問い合わせ窓口を設置した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務委託先でのインシデント検知から委託元への報告までに時間を要した点 | 委託契約および運用規程においてインシデント検知後24時間以内の第一報義務を明記し、有事の連絡手順と初動エスカレーション訓練を定期的に実施する。 |
| ランサムウェアによる暗号化でサーバー復旧および原因調査が停滞した点 | 主系ネットワークから論理的または物理的に分離された改ざん不能なオフラインバックアップを確保し、定期的なリストア検証を行って復旧手順を確立する。 |
| 委託先サーバーに長期的な顧客情報が蓄積・残存していた点 | 修理対応完了後など業務上の保持期限を経過した顧客情報は自動的かつ安全に消去またはマスキングするデータライフサイクル管理を徹底する。 |
| 外部接続経路からの侵入およびランサムウェア実行を未然に阻止できなかった点 | 公開サーバーや外部接続境界における多要素認証の導入、脆弱性管理の徹底、およびEDRによる不審な暗号化挙動の検知・自動隔離体制を構築する。 |
自組織などでの確認項目
- 自社の業務委託先でセキュリティインシデントが発生した場合、何時間以内に委託元へ報告するSLAや手順が契約上定められているか？
- 業務委託先に連携・保管を許可している個人情報について、保持期限の制限や定期的な消去状況の監査を行っているか？
- ランサムウェアにより本番環境が暗号化された場合でも、フォレンジック調査用ログや復旧用バックアップが安全に隔離保全されているか？
未解明点
- コックスのサーバーに侵入された具体的な経路や悪用された脆弱性は何か？
- 漏えいの可能性がある顧客（2025年9月以降に時計修理を依頼した顧客）の具体的な対象件数・人数は何件か？
出典
- 1株式会社アクト2026-10-28研究者本文確認済
- 2ASCII.jp2026-10-28報道本文確認済
- 3セキュリティ対策Lab2026-10-28報道本文確認済
- 4中日新聞Web2026-10-28報道本文確認済
- 5デイリースポーツ online2026-10-28報道本文確認済
- 6株式会社ドン・キホーテ、株式会社長崎屋、株式会社橘百貨店、UDリテール株式会社2026-10-28公式本文確認済
- 7新潟日報2026-10-28報道本文確認済
- 8日本経済新聞2026-10-28報道本文確認済
- 9共同通信社2026-10-28報道本文確認済