第一興商の委託先PCがマルウェア感染、約872万件に漏えいのおそれ

項目	内容
発生・公表日	感染判明: 2026年10月1日〜2日（委託先） / 第一興商への報告: 10月5日 / 公表: 10月8日
対象組織	株式会社第一興商（東京都品川区、カラオケ事業・飲食店運営）
委託先	日本コロムビアグループ（NCG）
漏えいのおそれ件数	約872万4,000件（顧客約863万1,000件／従業員約9万3,000件）
情報の項目	氏名（登録名）・性別・生年月日・メールアドレス・電話番号
情報源	第一興商公式（2026年10月8日） / 英語版 / ITmedia NEWS / 週刊アスキー

概要

株式会社第一興商は2026年10月8日、委託先で個人情報が漏えいしたおそれがあると公表しました。委託先は、個人情報の取り扱いを任せている日本コロムビアグループ（NCG）です。

NCGの従業員が使うPC1台がマルウェアに感染しました。このPCには、委託業務の個人データが一時的に保存されていました。

対象は約872万4,000件です。ビッグエコーなどの店舗で会員登録や予約をした顧客の情報が中心です。従業員の情報約9万3,000件も含まれます。

パスワードは含まれていないと同社は説明しています。公表時点で、外部への流出や不正利用は確認されていません。第一興商のシステムへの影響も確認されていないとしています。

NCGは認証情報をリセットし、原因と被害範囲を調べています。第一興商は委託先の管理方法の見直しを検討するとしています。

本件の感染経路は公表されていないため、以下は委託先での漏えい事案に共通する対策です。本件のように委託先の端末に個人データが一時保存される業務では、端末に置いてよいデータの範囲と、作業後に消すまでの期限を決めておきます。端末が感染したときに影響を受ける件数を、業務に必要な分まで小さくできます。

本件で被害が起きた場所は、委託先の従業員のPCです。委託元が自社のシステムを監視していても、委託先の端末はその範囲に入らないことが多いと考えられます。顧客データを渡した先の端末で何が起きているかは、委託先の検知と報告に頼ることになります。

そこで、委託先が異常を検知したら何日以内に誰へ連絡するかを、契約で決めておく必要があります。本件のように隔離から報告まで日数が空く場合もあるためです。連絡を受けた委託元が、顧客への注意喚起や窓口の開設をいつ判断するかも、あらかじめ決めておくと初動が速くなります。

判明次第、本記事に追記します。

日時	内容
2026-10-10	第一報を公開