--- title: "第一興商で872万件の情報漏えいのおそれ、原因は委託先PC1台のマルウェア感染。カラオケ利用者への影響を確かめる" description: "第一興商が2026年10月8日に公表した、委託先・日本コロムビアグループの従業員PC1台のマルウェア感染に伴う個人情報漏えいのおそれ。ビッグエコーなど872万4000件の内訳と対象範囲を確かめる" url: https://itpostjp.com/security/daiichikosho-outsourced-malware-infection-8724000-records/ category: "セキュリティ" published_at: 2026-10-10T08:30:00Z updated_at: 2026-10-10T09:54:24Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: claude-sonnet-5 terms: ["マルウェア"] --- # 第一興商で872万件の情報漏えいのおそれ、原因は委託先PC1台のマルウェア感染。カラオケ利用者への影響を確かめる IT Post編集部 ＆ 編集長 千田智也 第一興商が2026年10月8日に公表した、委託先・日本コロムビアグループの従業員PC1台のマルウェア感染に伴う個人情報漏えいのおそれ。ビッグエコーなど872万4000件の内訳と対象範囲を確かめる ## 30秒で分かる結論 - 第一興商は2026年10月8日、業務委託先である日本コロムビアグループの従業員PC1台がマルウェアに感染し、顧客・従業員に関する個人情報約872万4000件が外部に漏えいしたおそれがあると発表しました。 - 感染したのは「カラオケ ビッグエコー」をはじめとする同社グループの会員・予約情報で、「カラオケCLUB DAM」「DKダイニング」など複数ブランドに影響が及んでいます。対象情報は氏名・生年月日・電話番号・メールアドレスなどで、パスワードは含まれていません。 - 感染は10月1日から2日にかけて判明し、委託先が2日に端末をネットワークから隔離、第一興商への報告は5日でした。発表時点で、実際の外部漏えいや不正利用は確認されていません。 ## まず初めに カラオケで熱唱したあの夜の記録が、委託先のPC1台のマルウェア感染で872万件まとめて危機に晒されるとは、誰も思っていなかったはずだ。原因が「外部からの直接攻撃」ではなく「委託先のパソコン1台」というスケールの小ささに、ちょっと拍子抜けする人もいるかもしれない。第一興商の説明は「今回の情報のみではポイントを利用できない」という条件付きのものだが、それにしても863万件という顧客情報の数字は、国内のカラオケ好きのかなりの割合を巻き込んでいる計算になる。※個人の感想です ## 何が起きているのか カラオケ「ビッグエコー」などを運営する第一興商は2026年10月8日、業務委託先である日本コロムビアグループ株式会社の従業員が使用するPC1台がマルウェアに感染し、顧客・従業員に関する個人情報が外部に漏えいしたおそれがあると発表しました。日本コロムビアグループには、第一興商の顧客情報の取り扱いが委託されていました。 発表によると、マルウェア感染は2026年10月1日から2日にかけて判明し、委託先は2日のうちに感染した端末をネットワークから隔離する対応を取りました。第一興商がこの事案について委託先から報告を受けたのは10月5日でした。 漏えいのおそれがある件数は、合計で約872万4000件とされています。内訳は、顧客情報が約863万1000件、従業員情報が約9万3000件です。報道では、対象ブランド別の件数として、「カラオケ ビッグエコー」関連が約555万8000件、「DKダイニング」関連が約346万2000件、「カラオケCLUB DAM」関連が約7万4000件などと伝えられています(重複して集計されている分があるため、ブランド別の件数を単純に合計すると総数とは一致しません)。漏えいの可能性がある情報項目は、氏名・生年月日・電話番号・メールアドレスなどで、ログインに使うパスワードは含まれていません。同社は、漏えいのおそれがある情報にパスワードは含まれておらず、この情報のみで利用者のポイントを利用することはできないと説明しています。これは今回の情報のみを使う場合の説明で、不正利用全般が起こらないという保証ではありません。 第一興商は、発表時点で情報が実際に外部へ漏えいした事実や、不正利用の発生は確認していないとしています。また、自社のシステム自体への影響も確認されていないとしています。委託先の日本コロムビアグループは、認証に使うパスワードなどをリセットしたうえで、外部の専門機関と連携して感染原因と影響範囲の調査を進めているとされています。 ## なぜ重要なのか 今回の事案は、第一興商自身が直接攻撃を受けたのではなく、業務委託先の従業員PC1台がマルウェアに感染したことが発端になっている点が特徴です。企業が自社のシステムをいくら厳重に守っていても、情報の取り扱いを委託している先の管理体制に弱点があれば、そこを経由して大量の個人情報が危険にさらされる可能性があることを示す事例といえます。 また、同じ2026年10月8日にはローソンでも215万件超の個人情報漏えいが発表されており、10月に入ってから大和証券、ミスターマックス、シチズン時計、焼肉きんぐ、旭化成セラピューティクスなど、業種を問わず不正アクセスや情報漏えいの発表が相次いでいます。委託先経由の情報漏えいという構図は、大和証券・シチズン時計の事案(委託先「スカラコミュニケーションズ」経由)とも共通しており、サプライチェーン(供給網)全体でのセキュリティ管理の重要性が改めて浮き上がっています。 ## 私たちへの影響 「カラオケ ビッグエコー」「カラオケCLUB DAM」「DKダイニング」などで会員登録・予約をしたことがある人は、氏名・生年月日・電話番号・メールアドレスが対象に含まれている可能性があります。公式発表で挙げられた情報項目にパスワードは含まれておらず、同社は今回の情報のみではポイントを利用できないと説明しています。ただし、氏名・生年月日・連絡先を組み合わせた、なりすましメールや不審な電話による詐欺の材料にされるリスクはあります。 第一興商は、該当する利用者や従業員に向けて注意喚起を行っており、不審なメールやSMS、電話による勧誘には応じないよう呼びかけています。心当たりのある連絡が届いた場合は、送信元の表示だけで信用せず、公式サイトに記載された窓口に確認することが基本の対応になります。 ## 初心者が知っておくべきこと 「サプライチェーン攻撃」とは、攻撃者が標的の企業を直接狙うのではなく、その企業と取引のある委託先や取引先など、比較的守りが弱い場所を経由して最終的な標的に到達しようとする攻撃の考え方です。今回の第一興商の事案も、第一興商自身ではなく、業務委託先の従業員PCがマルウェアに感染したことが発端になっており、この構図に近い例といえます。 「マルウェア」とは、コンピューターウイルスやスパイウェアなど、利用者に無断でコンピューターに被害を与える不正なソフトウェア全般を指す言葉です。メールの添付ファイルや、改ざんされたウェブサイトの閲覧などを通じて感染することが多く、感染した端末から情報が外部に送信されてしまうケースがあります。 **Q. 自分がビッグエコーなどの対象に当たるか確認するには?** A. 自分の情報が対象かどうかは、記事の件数だけでは判断できません。第一興商は[10月9日の公式案内](https://www.dkkaraoke.co.jp/news/newsletter/261009_1.html)で、専用フリーダイヤル0120-732-079の開設を知らせています。受付時間は午前10時〜午後5時（土・日・祝日を除く）です。対象範囲や調査の最新状況、問い合わせ条件は公式発表で確認してください。 ## IT Postの見方――穴は会社の外にもある IT Postは、第一興商がいくら自社のシステムを固めても、委託先のPC1台がマルウェアに感染しただけで872万件規模の情報が危険にさらされるという今回の構図に、率直に言って頭を抱えている。委託先管理というのは、契約書に「セキュリティに配慮すること」と一行書いて終わりにできる話ではなく、実際にどこまで監査し、どこまで権限を絞っているかが問われる領域だ。 同じ日にローソンの発表も重なったことで、たまたま目立たなくなった面もあるかもしれないが、むしろそれこそが怖い。似たような構図の漏えいが同じ週に複数件並ぶというのは、どの企業も「委託先は大丈夫だろう」という前提で回してきた仕組みが、同時にあちこちで緩んでいたことの表れではないか。IT Postは、再発防止策として「委託先管理のあり方を検証する」というだけでなく、実際にどのような監査体制に変えるのかを、今後の発表で確かめたいと考える。※個人の感想です ## 今後どうなりそうか 第一興商は、原因調査と再発防止策の検討を進め、委託先の管理体制のあり方を検証したうえで、必要な強化策を講じる方針を示しています。感染の具体的な経路や、実際に外部へ情報が流出したかどうかの最終的な調査結果については、発表時点では明らかにされていません。IT Postでは、続報が発表され次第、あらためて取り上げます。 ## 訂正履歴 - 2026-10-10T09:54:24Z: パスワードが含まれないことからポイント不正利用の心配がない・できないと読める記述を、公式発表の「今回の情報のみでは利用できない」という条件付き説明へ訂正しました。金銭的被害の可能性が低いとの推測も取り除きました。10月8日の公式発表と10月9日の専用窓口案内を出典へ追加し、報道の一次情報表記を修正しました。 ## 情報源 - [委託先における個人情報漏えいのおそれについて](https://www.dkkaraoke.co.jp/news/newsletter/261008_2.html) — 株式会社第一興商(公式)（一次情報） - [委託先における個人情報漏えいのおそれに関するお問い合わせ窓口（フリーダイヤル）開設のお知らせ](https://www.dkkaraoke.co.jp/news/newsletter/261009_1.html) — 株式会社第一興商(公式)（一次情報） - [ビッグエコー会員ら872万件の個人情報漏えいか 第一興商、委託先PCがマルウェア感染](https://www.itmedia.co.jp/news/article/2610/09/2000002154/) — ITmedia NEWS - [第一興商、委託先への不正アクセスで「ビッグエコー」などの利用者情報約872万件が漏えいのおそれ](https://internet.watch.impress.co.jp/docs/news/2147032.html) — INTERNET Watch - [第一興商、委託先へのサイバー攻撃で約872万4,000件の個人情報漏えいの恐れ―ビッグエコーなどの顧客情報に影響](https://rocket-boys.co.jp/security-measures-lab/daiichikosho_columbia_malware_8724000_data_breach_risk/) — セキュリティ対策Lab ## この記事に出てくるIT用語 - [マルウェア](https://itpostjp.com/terms/malware/): コンピューターやサーバーに被害を与えたり情報を盗み出したりする目的で作られた、悪意のあるソフトウェアの総称です。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/daiichikosho-outsourced-malware-infection-8724000-records/