【インシデント速報】2026年10月10日｜第一興商 約872万件・ブックオフ 最大643万件・ローソン 約215万件

今日のポイント（3行以内）:
①第一興商は、個人情報の取り扱いを委託していた日本コロムビアグループの従業員端末がマルウェアに感染し、約872万件が漏えいのおそれと公表した。②ブックオフは会員管理システムへの不正アクセスで最大約643万件、ローソンは約215万件の会員情報が漏えいした可能性を相次いで公表した。委託先を含む会員システムの入口点検と、カード情報・パスワードの保管状況の確認が今週の宿題になる。

第一興商、委託先のマルウェア感染で約872万件が漏えいのおそれ

カラオケ「ビッグエコー」や通信カラオケ「DAM」を手がける第一興商は2026年10月8日、個人情報の取り扱いを委託していた日本コロムビアグループ株式会社の従業員端末1台がマルウェアに感染し、預けていた個人情報が外部に漏えいしたおそれがあると公表しました。

漏えいのおそれがある件数は、顧客情報が約863万1,000件、従業員情報が約9万3,000件で、合計約872万4,000件です。第一興商は、これは漏えいが疑われる情報の件数であり、確認された流出人数ではないとしています。対象となる情報項目は氏名（登録名）・性別・生年月日・メールアドレス・電話番号で、パスワードは含まれず、公表された対象項目にクレジットカード情報は挙げられていません。委託先では10月1日から2日にかけて感染が判明し、10月2日に該当端末を隔離、10月5日に第一興商へ報告がありました。公表時点で情報の流出や不正利用、第一興商側システムへの影響は確認されておらず、委託先が認証情報のリセットと外部専門機関による調査を進めています。マルウェアの種類や感染経路は公表されていません。

ブックオフ、会員管理システムへの不正アクセスで最大約643万件の会員情報が流出のおそれ

ブックオフグループホールディングスは2026年10月9日、子会社が運用する会員管理システムが第三者による不正アクセスを受け、会員情報が外部に取得されたおそれがあると公表しました。

漏えいのおそれがある件数は最大約643万件ですが、同社はこれを会員番号の件数であり実際の人数ではないと説明しています。対象となる可能性がある情報は、氏名・生年月日・性別・メールアドレス・電話番号・郵便番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号です。クレジットカードなどの決済情報は同システムで保有していないため含まれません。不正アクセスは10月6日に確認し、同社は攻撃元からの通信を遮断して脆弱性を是正、対象システムへの外部アクセスを遮断したうえで監視を継続しています。全システムを対象にした緊急総点検を実施しており、対象者には調査結果を踏まえて順次個別に連絡する予定です。流出情報の公開や悪用、会員情報の書き換えは確認されていないとしています。具体的な侵入手法は公表されていません。

ローソン、情報表示用の機構への不正アクセスで約215万件が漏えいのおそれ

ローソンは2026年10月8日、アプリ上で利用者本人に情報を表示するための機構が第三者による不正アクセスを受け、会員情報が漏えいしたおそれがあると公表しました。

漏えいのおそれがあるのは、「ローソンID」が215万5,345件、「ローソンアプリ予約」が26件です。ローソンIDで対象となる情報はメールアドレスと氏名で、プレゼント応募などで入力していた場合は性別・電話番号・住所・メルマガ取得情報も含まれます。ローソンアプリ予約の26件では、氏名・電話番号に加えてクレジットカード番号の一部が対象に含まれます。不正アクセスは、ローソンIDが9月12日から14日の間、ローソンアプリ予約が9月17日に発生したとみられ、10月7日に行った調査で判明しました。ローソンは不審なアクセス元をブロックし、ローソンアプリ予約の機能を停止、個人情報保護委員会へ報告済みで、対象者には個別に案内を進めています。具体的な侵入手法は公表されていません。

編集部まとめ

今回の3件は、いずれも「自社の正規の仕組み」や「預けた先」が入口になりました。会員情報を表示する機能、会員管理システム、委託先の端末——どれも日常業務に欠かせないものです。まずは自社がどこに何の情報を置き、誰に預けているかを一覧にし、入口（管理画面・API・委託先端末）の守りとカード情報・パスワードの保管状況を点検することが、同じ被害を避ける近道です。