第一興商の情報漏えいの原因は？委託先のPC1台の感染で872万件PCに保存されたデータと認証情報の守り方

2026年10月8日、株式会社第一興商は、個人情報の取扱いを委託している日本コロムビアグループ株式会社（以下、委託先）で従業員のPCがマルウェアに感染し、約872万4,000件の個人情報が漏えいしたおそれがあると公表しました。感染したのはPC1台です。

委託先や自社のPCに何かあったとき、どのPCに誰がいつ入ったかがすぐ分かれば、確認の手間が大きく減ります。アプリップリキーなら、全PC・サーバーのログイン記録を1か所で検索でき、委託元や取引先に聞かれたその日にCSVで出して説明できます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると2要素認証になり、パスワードだけでは他のPCやサーバーに入れない状態にできます。毎回の操作はスマホでワンタッチなので、社員の手間はほとんど増えません（PC版・サーバー版）。

価格と初月無料を見る資料を見る（PDF）

PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）

この記事では、公表された事実を確認したうえで、「なぜPC1台でここまでの件数になるのか」「パスワードをリセットしたのはなぜか」を整理し、委託する側・委託される側の両方の立場で、自社が確認しておきたいことをまとめます。なお、原因や被害範囲は10月8日の公表時点では調査中で、11月6日に外部専門機関による調査結果が公表されています。この記事は特定の企業の対応を評価するものではなく、公表内容から一般に学べる点を扱います。

公表された事実

第一興商の公表内容（2026年10月8日。10月26日・11月6日追記）を要約すると、次のとおりです。

• 2026年10月1日から2日にかけて、委託先の従業員の端末（PC1台）でマルウェアの感染が判明し、10月2日に当該端末をネットワークから隔離した
• 第一興商は、委託先による影響範囲の調査を経て、10月5日に報告を受けた
• 当該端末には、委託した業務に関する個人データが一時的に保管されていた
• 漏えいのおそれがあるのは、店舗で会員登録や予約をした顧客の氏名（登録名）・性別・生年月日・メールアドレス・電話番号で、顧客約863万1,000件（重複を除いた件数）と従業員約9万3,000件の合計約872万4,000件
• 委託先は、認証情報であるパスワード等をリセット済みで、漏えいの有無を含め原因や被害範囲を調査中
• 公表時点で、実際の外部への漏えい、本件に起因する不正利用、第一興商のシステムへの影響は確認されていない
• 2026年11月6日に公表された外部専門機関の調査結果では、当該端末でマルウェア感染と外部サーバーとの不正な通信が確認され、マルウェアには端末内の情報を外部へ送信する機能が認められた。実際に外部へ送信された情報の内容や範囲は特定できず、遠隔操作が行われたと考えられる痕跡も確認されていない。現時点で、本件に起因する個人情報の流出や不正利用の事実は確認されていない

「漏えいした」ではなく「漏えいしたおそれを否定できない」という段階での公表です。個人情報保護法では、不正の目的によるおそれがある漏えいは、おそれの段階でも報告と本人への通知の対象になります（個人情報漏えいの報告義務と期限）。

なぜPC1台の感染でここまでの件数になるのか

公表内容によれば、対象のデータは感染したPCそのものに一時的に保管されていたものです。社内のサーバーに広がったという説明はありません。つまり件数の大きさは、攻撃の規模ではなく、1台のPCにどれだけのデータが置かれていたかで決まっています。

業務の都合でデータをPCに書き出すことは、どの会社でも起こります。集計のためにシステムから一覧を出力する、委託先に作業用のファイルを渡す、といった場面です。作業が終わった後に消す運用になっていても、「一時的に」のつもりのファイルが残り続けることは珍しくありません。

感染後にパスワードをリセットする意味

今回、委託先はパスワード等の認証情報をリセットしたと報告しています。マルウェアに感染したPCでは、そのPCで入力された、あるいは保存されていたID・パスワードが盗まれている可能性を考える必要があるためです。

一般に、盗まれた認証情報が問題になるのは、同じID・パスワードで、他のPCやサーバー、クラウドにログインできてしまうからです。攻撃者が正規のIDとパスワードでログインすると、ログの上では通常の業務と区別がつきにくくなります。最初の1台の被害が、社内の他の端末へ広がっていくのは、多くの場合この経路です（今回の事案で、そうした不正ログインがあったとは公表されていません）。

パスワードのリセットは、盗まれた情報を使えなくするための正しい初動です。ただし、リセットするまでの間は盗まれたパスワードが有効なままです。感染に気づくまでに時間がかかれば、その間に使われるおそれがあります。

そこで考えておきたいのが、パスワードが盗まれていても、それだけではログインできない状態にしておくことです。メールやクラウドでは多要素認証が広まりましたが、社内のWindows PCやサーバーへのログインはパスワードだけ、という会社はまだ少なくありません。方式の選び方はWindows OSログインの2要素認証で整理しています。

委託先から「PCが感染した」と連絡を受けたら確認する5項目

中小企業は、業務を委託する側にも、委託を受ける側にもなります。委託先から感染の連絡を受けたときに聞くべきことを、あらかじめ決めておくと初動が早くなります。

1. どのデータが、その端末に置かれていたか — 自社が渡したデータのうち、どの範囲が含まれるか。件数と項目
2. いつ感染し、いつ隔離したか — 感染から隔離までの期間。この間に外へ送られた可能性がある
3. その端末で使われていた認証情報は何か、リセットは済んだか — 自社のシステムに入るためのIDが含まれていれば、自社側でも無効化が必要
4. その端末から、他のどこにログインできたか — 委託先の社内サーバーや共有フォルダ、自社が提供したシステムなど
5. 誰が調査し、いつ結果が出るか — 外部の専門事業者が入っているか。報告義務の期限に間に合うか

3と4は、自社の被害範囲を決める項目です。委託先のPCから自社のシステムに入れる状態だったなら、自社側でも確認が必要です。委託先に発行しているアカウントの管理は委託先・外部業者のアカウント管理、委託先に確認する項目の全体は委託先のセキュリティ確認項目で扱っています。

自社のPCで今日確認できること

• 個人データの一覧が、個人のPCに保存されたままになっていないか — デスクトップやダウンロードフォルダに、作業後のファイルが残っていないか
• PCへのログインが、パスワードだけで通る状態になっていないか — 盗まれたパスワードで、他のPCやサーバーに入れてしまわないか
• 同じパスワードを、複数のPCやサーバーで使い回していないか — 管理者アカウントで特に起きやすい（ローカル管理者パスワードの管理）
• 感染に気づいたとき、端末を隔離する手順が決まっているか — 誰が判断し、誰に連絡するか

いま入られていないかを確かめる方法は不正アクセスされたか調べる方法、被害が広がった場合にかかる費用は不正アクセスの被害額で整理しています。

普段の管理が楽になると何が変わるか

上の確認を1台ずつ行うのは大変です。全PC・サーバーを1か所で管理できるようにしておくと（アプリップリキー）、ログイン記録を画面で検索でき、「その端末から他のどこに入ったか」をCSVで出して、委託元や取引先にその日のうちに説明できます。

ランサムウェアの前兆やログインの連続失敗があるときだけLINEに届き、そのボタンからネットワークの切り離しまでできます。隔離の判断をする人が外出中でもスマホで動けて、何もない日は見に行かなくてよいので、担当者が安心して休めます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、2要素認証になります（PC版・サーバー版）。

他の事例：侵入経路と入られた後の広がり方

公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。

• 八王子学園 — ファイアウォールを突破し、リモートデスクトップでサーバーにログイン
• サカタのタネ — リモートアクセス用の公開サーバーを起点に、管理者権限を取得された可能性
• アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
• アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
• 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
• 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
• オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
• 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
• フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された

社内のWi-Fiも、VPNと同じく社内への入口です。

出典

• 株式会社第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日。10月26日・11月6日追記）
• 株式会社第一興商「委託先における個人情報漏えいのおそれに関する外部専門機関による調査結果および今後の対応について」（2026年11月6日）

記事中の事実関係は、上記の公表内容（2026年11月12日時点で確認）に基づきます。調査の進展により内容が更新される可能性があります。

いまの運用を棚卸ししてみる

PCに何が置かれ、そのPCのパスワードで他にどこへ入れるか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。

自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは　侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。