日本コロムビアグループでマルウェア感染｜約872万件の情報漏えいのおそれ

2026年10月8日、第一興商は、個人情報の取り扱いを委託している日本コロムビアグループ株式会社の従業員端末がマルウェアに感染し、顧客情報などが漏えいしたおそれがあると公表しました。

対象となる情報は、顧客情報約863万1,000件と従業員情報約9万3,000件を合わせて約872万4,000件です。氏名、性別、生年月日、メールアドレス、電話番号などが含まれるとされています。

公表時点では、情報が実際に外部へ漏えいした事実や、本件に起因する不正利用は確認されていません。また、漏えいのおそれがある情報にパスワードは含まれていないと説明されています。

今回の事案で考えたいのは、マルウェア感染そのものだけではありません。自社の情報を外部に委託している場合、委託先の端末や管理体制も、自社の情報セキュリティに関係するという点です。

1．何が起きたのか

第一興商の公表によると、委託先である日本コロムビアグループの従業員端末1台で、2026年10月1日から2日にかけてマルウェア感染が判明しました。

感染が判明した端末は10月2日にネットワークから隔離され、影響範囲の調査を経て、第一興商は10月5日に委託先から報告を受けたとしています。

当該端末には、第一興商が委託した業務に関する個人データが一時的に保管されていました。そのため、情報が漏えいした可能性を否定できない状況となっています。

認証情報であるパスワードなどはリセット済みで、漏えいの有無、原因、被害範囲については調査が続けられています。

2．約872万件の情報とは

今回、漏えいのおそれがあると公表された情報には、次のようなものが含まれます。

• 氏名・登録名
• 性別
• 生年月日
• メールアドレス
• 電話番号

対象には、ビッグエコーなどの店舗で会員登録や予約をした顧客の情報に加え、従業員情報も含まれます。

第一興商は、対象情報にパスワードは含まれておらず、今回の情報だけでポイントを不正利用することはできないと説明しています。また、公表時点ではポイントの不正利用も確認されていません。

ただし、氏名や連絡先などが組み合わさると、企業やサービスを装ったメール、SMS、電話などに悪用される可能性があります。実際に悪用されたと確認されているわけではありませんが、利用者は不審な連絡に注意する必要があります。

3．なぜ委託先の端末が大きなリスクになるのか

企業は、顧客管理、予約管理、問い合わせ対応、事務処理などの業務を外部の事業者に委託することがあります。その際、業務に必要な個人情報が委託先のシステムや端末で扱われる場合があります。

委託先の端末に大量のデータが一時保存されていれば、その端末がマルウェアに感染した際に、情報が危険にさらされる可能性があります。

自社のネットワークやシステムに問題が見つからなくても、委託先で扱われている自社関連の情報が影響を受けることはあり得ます。

つまり、情報セキュリティを考える際には、自社のパソコンやサーバーだけでなく、業務を委託している先で情報がどのように保管され、管理されているかにも目を向ける必要があります。

4．中小企業が確認したい4つの対策

① 委託先に渡す情報を必要最小限にする

委託業務で必要となる情報を整理し、必要以上の個人情報を渡していないか確認しましょう。業務上不要になったデータの削除ルールや、保存期間も明確にしておくことが大切です。

② 端末へのデータ保存を見直す

顧客情報を従業員のパソコンに一時保存する運用がある場合、保存の必要性や管理方法を確認します。可能であれば、アクセス制御された保管場所を利用し、端末にデータを残さない方法も検討しましょう。

③ アクセス権限と端末の保護を確認する

業務に必要な人だけが情報にアクセスできるようにし、不要なアカウントや権限を放置しないことが重要です。OSやソフトウェアの更新、マルウェア対策、ログの監視、多要素認証なども確認したい項目です。

④ 事故が起きた場合の連絡手順を決める

委託先で不正アクセスやマルウェア感染が発生した場合、誰に、いつ、どのように報告するのかを契約や運用ルールで明確にしておきましょう。初動対応、影響範囲の調査、顧客への連絡、再発防止策の確認まで、役割分担を決めておくことが重要です。

5．委託契約を結んでいれば安心なのか

委託契約に情報管理や秘密保持の条項を定めることは重要です。しかし、契約書を整えるだけで、実際のセキュリティ対策が十分になるわけではありません。

委託先がどのような端末を使い、どの範囲の情報にアクセスできるのか。データの保存や削除はどのように行われているのか。事故が発生した場合、どのくらいの時間で報告を受けられるのか。こうした実際の運用も確認する必要があります。

すべての委託先に同じ水準の確認を求めるのが難しい場合は、扱う情報の量や重要性、システムへのアクセス範囲などを踏まえて、確認の優先順位を決める方法もあります。

6．サイバー保険で備えられること

マルウェア感染や情報漏えいが発生すると、原因調査、外部専門家への相談、システム復旧、顧客への通知、問い合わせ対応、賠償責任への対応など、さまざまな費用が発生する可能性があります。

サイバー保険では、契約内容や事故の状況に応じて、事故対応費用や賠償責任などが補償対象となる場合があります。ただし、すべての事故や費用が自動的に補償されるわけではありません。補償範囲、支払限度額、免責金額、委託先に関連する事故の取り扱いなどを確認することが大切です。

また、保険は日常のセキュリティ対策の代わりにはなりません。委託先管理、端末保護、アクセス制御、事故対応手順と組み合わせて備えることが重要です。

7．まとめ｜自社だけでなく委託先の管理も確認する

今回の事案では、日本コロムビアグループの従業員端末1台でマルウェア感染が判明し、第一興商の顧客・従業員情報約872万4,000件について、漏えいのおそれが公表されました。公表時点では、実際の外部漏えいや不正利用は確認されていないとされています。

中小企業でも、顧客情報や従業員情報を外部の事業者に預けている場合があります。自社のシステムだけでなく、委託先でのデータ管理、端末の保護、アクセス権限、事故時の連絡体制を確認してみてはいかがでしょうか。

情報を預けることは、管理上の責任やリスクをすべて手放すことではありません。委託先とともに情報を守る仕組みを整えることが、被害の予防と、万一の際の迅速な対応につながります。

※本記事は、2026年10月8日に公表された第一興商の発表などに基づいています。調査の進展により内容が更新される可能性があるため、最新情報は公式発表をご確認ください。