第一興商の個人情報漏えいのおそれ（2026年）
2026年10月、カラオケ「ビッグエコー」などを運営する株式会社第一興商は、個人情報の取扱いを委託している企業のパソコンがマルウェアに感染し、約872万件の個人情報が漏えいしたおそれがあると公表しました。
今回の事例で注目したいのは、第一興商自身のシステムではなく、個人情報を取り扱う委託先で問題が発生したという点です。
企業が個人情報を適切に管理するためには、自社内のセキュリティ対策だけでなく、委託先の管理状況を把握することも重要になります。
事件の概要や企業の対応を整理し、委託先管理における教訓を考えます。
事件の概要
2026年10月8日、第一興商は、個人情報の取扱いを委託している日本コロムビアグループ株式会社（NCG社）の従業員のパソコンがマルウェアに感染したことを公表しました。
NCG社では10月1日から2日にかけて、従業員が使用するパソコン1台の感染が判明し、10月2日に当該端末をネットワークから隔離しました。
その後、影響範囲の調査が行われ、第一興商は10月5日に報告を受けています。
感染したパソコンには、第一興商から委託された業務に関する個人データが一時的に保存されていました。
漏えいのおそれがある情報は、次のとおりです。
| 区分 | 件数 |
|---|---|
| ビッグエコー関連 | 約555万8,000件 |
| メガビッグ関連 | 約4万3,000件 |
| カラオケCLUB DAM関連 | 約7万4,000件 |
| バナナクラブ関連 | 約5,000件 |
| B-GARAGE関連 | 約4,000件 |
| DKダイニング関連 | 約346万2,000件 |
| 重複分 | 約51万5,000件を控除 |
| お客様情報合計 | 約863万1,000件 |
| 従業員情報 | 約9万3,000件 |
| 総合計 | 約872万4,000件 |
対象となるお客様情報には、氏名（登録名）、性別、生年月日、メールアドレス、電話番号が含まれています。
なお、第一興商の発表によると、実際に個人情報が外部へ漏えいした事実や、不正利用は確認されていません。
また、対象情報にパスワードは含まれておらず、第一興商自身のシステムへの影響も確認されていないと説明されています。
個人情報漏えいのおそれが生じた原因
今回の問題は、委託先企業の従業員が使用するパソコン1台が、マルウェアに感染したことをきっかけに判明しました。
マルウェアとは、コンピューターやシステムに不正な動作をさせることを目的とした悪意のあるプログラムの総称です。
感染した端末には、委託業務に関する個人データが一時的に保存されていました。
このため、当該情報が外部に漏えいした可能性を否定できない状況となりました。
ただし、マルウェアへの具体的な感染経路や、情報が実際に外部へ送信されたかどうかについては、調査が続けられています。
今回の事例から考えたいのは、個人情報を管理する際には、データの保存先だけでなく、業務で使用するパソコンや委託先の作業環境も管理対象になるということです。
第一興商の対応
第一興商の発表によると、委託先のNCG社では、感染したパソコンをネットワークから隔離し、認証情報であるパスワードなどのリセットを実施しました。
第一興商側でも、次の対応を進めています。
- 自社システムの点検
- 個人情報の不正利用に関する継続的な監視
- 委託先および外部専門機関による調査結果の確認
- 委託先管理体制の検証
- 必要に応じた管理体制の強化
- 利用者からの問い合わせ窓口の設置
また、10月9日には専用のフリーダイヤルを開設し、利用者からの問い合わせに対応する体制を整えました。
調査の進展によって新たな事実が判明した場合には、追加の情報を公表する方針も示しています。
事件による影響
今回の事例では、約872万4,000件という大規模な個人情報について、漏えいの可能性が否定できない状況となりました。
対象となる情報には、氏名や生年月日、メールアドレス、電話番号などが含まれています。
仮にこうした情報が第三者に取得されていた場合、なりすましメールやフィッシング詐欺などに悪用されるおそれがあります。
第一興商も利用者に対して、不審なメールやSMS、電話への注意を呼びかけています。
一方で、10月8日の公表時点では、実際の情報漏えいや本件に起因する不正利用は確認されていません。
このように、漏えいが確定していない段階でも、企業には調査や利用者への説明、問い合わせ対応、再発防止策の検討などが求められます。
この事件から学ぶべきこと
今回の事例から学びたいのは、個人情報の管理責任は、自社の外に情報を預けたからといって終わるものではないということです。
企業では、顧客管理やシステム運用、データ入力、事務処理など、さまざまな業務を外部に委託しています。
こうした委託先でも、自社が保有する個人情報が取り扱われることになります。
そのため、委託先を選定する際の確認だけでなく、委託開始後も適切な管理が行われているかを継続的に確認することが重要です。
企業が見直しておきたい項目として、次のようなものが挙げられます。
- 個人情報を取り扱う委託先を把握しているか
- 委託する個人情報の種類や範囲を明確にしているか
- 委託先との契約で安全管理に関する事項を定めているか
- 委託先の従業員や端末に対する管理状況を確認しているか
- 個人情報を一時保存する場合のルールを定めているか
- 委託先で事故が発生した際の報告手順を整備しているか
- 委託先の管理状況を定期的に点検しているか
これらは大企業だけの課題ではありません。
例えば、医療機関が患者情報を扱うシステムの管理を外部業者に委託する場合や、中小企業が顧客データの処理を外部に依頼する場合にも、共通する考え方です。
委託先を含めた個人情報管理体制の重要性
第一興商の事例が示しているように、個人情報の漏えいリスクは、自社のネットワークやシステムの内部だけに存在するわけではありません。
業務委託先のパソコンや作業環境など、企業の管理が直接及びにくい場所でも、情報漏えいにつながるリスクが生じる可能性があります。
そのため、企業には自社の安全管理措置に加え、委託先の選定、契約、監督、定期的な確認などを組織として継続する仕組みが求められます。
こうした個人情報の取扱いルールや管理体制を整え、第三者の視点から確認する方法の一つが、JAPHICマークです。
JAPHICマークの取得によってマルウェア感染や情報漏えいを完全に防止できるわけではありませんが、委託先管理を含む個人情報保護の仕組みを整備し、継続的に運用するための一つの手段となります。
JAPHICマークで備える安心
JAPHICマークを取得した事業者には、情報漏えい保険（サイバーリスク保険）が自動付帯されます。
- 賠償責任支払限度額：500万円（免責0円）
- 情報漏えい対応費用支払限度額：200万円（免責0円）
（※売上5億円以下は自動付帯、5億円超は任意加入）
取引先からの「個人情報保護の証明」に応えるだけでなく、万が一のリスクにも備えられるのがJAPHICマークの大きなメリットです。
実際の導入を検討されている場合は、以下のページも参考にしてみてください。
▶JAPHICマーク取得支援コンサルティングの詳細はこちら
▶他の記事も読む：JAPHICコラム一覧ページへ
参考資料
株式会社第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日公表、10月9日追記）
株式会社第一興商「委託先における個人情報漏えいのおそれに関するお問い合わせ窓口（フリーダイヤル）開設のお知らせ」（2026年10月9日）
※本記事は企業の公式発表に基づき、個人情報管理の教訓を紹介することを目的としています。実際の個人情報漏えいや不正利用が確認されたものではありません。
