【セキュリティニュース】2026年10月13日号｜Qilinメンバー逮捕・日本で53社被害／第一興商872万件／ブックオフ643万件／ローソン215万件
公開
警察庁（共同通信ほか報道）｜ 2026年10月8日公表
ランサムウェア攻撃集団「Qilin」のメンバーを摘発、ドイツへ引き渡し――日本国内では53社が被害、製造・建設・病院・学校など業種を問わず標的に
警察庁は2026年10月8日、ランサムウェア攻撃集団「Qilin（キリン）」に関与したとされるロシア国籍の男の身柄を拘束し、ドイツへ引き渡したことを明らかにしました。ドイツ側の発表では容疑者は28歳とされています。報道によると、ドイツが逮捕状を取得していたこの男が日本に入国した際、警察庁などが2026年5月に国内で逃亡犯罪人引渡法に基づき身柄を拘束し、その後2026年10月にドイツへ移送したとされています。
Qilinは2022年ごろから活動しているとされるランサムウェア攻撃集団で、世界で約4,000社に被害を与えたとみられています。警察庁によると、日本国内では2023年4月以降、53社が被害を受けたことが確認されており、被害企業は製造業・サービス業・建設業のほか、病院や学校にも及んでいます。2025年に発生した大手飲料メーカー・アサヒグループホールディングスへの攻撃についても、Qilinが犯行声明を出していたとされています。
この摘発は、特定の企業の被害事案ではなく「攻撃する側の実態」が可視化された点に意味があります。ランサムウェアは一部の高度な犯罪者が散発的に行うものではなく、分業化・組織化された集団が多数の企業を同時並行で狙うビジネスとして成立しています。被害業種が幅広いことは、規模や知名度に関係なく、どの会社も標的になり得ることを示しています。
被害企業に病院や学校、建設業が含まれることは、「うちのような中小企業は狙われない」という思い込みが通用しないことを意味します。攻撃者は、守りが手薄で身代金を払いやすい相手を無差別にスキャンして見つけ出します。ランサムウェアに感染すると、業務データが暗号化されて事業が止まるだけでなく、盗まれたデータを「公開する」と脅される二重恐喝に発展し、取引先や顧客への影響まで広がります。バックアップや復旧体制がないまま被害に遭うと、中小企業にとっては事業継続そのものが危うくなります。
- 重要データのバックアップを、ネットワークから切り離した場所（オフラインや別環境）にも保管する。感染時に一緒に暗号化されない「3-2-1」の考え方で複数世代を保持する
- VPN機器・リモートデスクトップ・公開サーバーなど、インターネットに面した入口のアップデートを最優先で適用し、使っていない公開サービスは閉じる
- 全アカウント、特に管理者権限やリモート接続に多要素認証（MFA）を設定し、推測されやすいパスワードの使い回しをなくす
- 感染を早期に検知できるよう、端末のセキュリティ対策ソフト（EDRを含む）を導入し、万一感染した場合の連絡先・復旧手順をあらかじめ決めておく
第一興商｜ 2026年10月8日公表
第一興商、委託先のPCがマルウェアに感染――ビッグエコー・DAMなどの顧客・従業員情報、最大約872万4,000件が漏えいのおそれ
カラオケ「ビッグエコー」などを運営する第一興商は2026年10月8日、個人情報の取り扱いを委託していた日本コロムビアグループ（NCG）の従業員PC1台がマルウェアに感染し、最大で約872万4,000件の個人情報が外部に漏えいしたおそれがあると公表しました。NCGは2026年10月1〜2日に感染を把握して当該端末をネットワークから隔離し、第一興商は10月5日にNCGから報告を受けたとしています。
漏えいのおそれがある情報は、顧客情報が約863万1,000件、従業員情報が約9万3,000件です。顧客情報の内訳は、ビッグエコー関連が約555万8,000件、DKダイニング関連が約346万2,000件、カラオケCLUB DAM関連が約7万4,000件などで、重複分を差し引いた数とされています。対象となる項目は氏名（登録名）、性別、生年月日、メールアドレス、電話番号で、パスワードは含まれていません。原因や被害範囲は、外部の専門機関も加えて調査中です。
この事案のポイントは、第一興商自身のシステムではなく、個人情報を預けていた委託先の1台のPCが起点になった点です。委託元がどれほど自社のセキュリティを固めていても、データを預けた先の端末がマルウェアに感染すれば、そこから大量の情報が流出し得ます。委託先管理が機能していたかが問われる事案です。
中小企業は、顧客情報の入力・発送・システム運用などを外部業者に委託している場面が多くあります。今回のように委託先の1台のPCが感染しただけで、自社が集めた個人情報が大量に漏れるリスクは、どの会社にもあります。委託契約で「安全管理措置を求める」と書いてあっても、実際に相手がどう運用しているかを確認していなければ、絵に描いた餅です。逆に、自社が他社から業務を請け負っている側であれば、自社の端末1台の感染が取引先全体に被害を広げる加害者になり得ます。
- 個人情報を預けている委託先を洗い出し、契約書に安全管理措置・漏えい時の報告義務・再委託の制限が明記されているか確認する
- 委託先に対して、端末のウイルス対策・OSやソフトの更新・アクセス権限の管理状況を定期的に報告させるか、チェックシートで確認する
- 委託先に渡す個人情報は必要最小限にとどめ、不要になったデータは削除・返却させる運用を取り決める
- 自社が受託側の場合も、業務で預かったデータを扱う端末を他の用途と分け、セキュリティ対策ソフトと更新を徹底する
ブックオフグループホールディングス｜ 2026年10月9日公表
ブックオフ、子会社の会員管理システムに不正アクセス――最大約643万件の会員情報が漏えいのおそれ、クレジットカード情報は対象外
ブックオフグループホールディングスは2026年10月9日、傘下の子会社が運用する会員管理システムが第三者による不正アクセスを受け、最大で約643万件の会員情報が外部に取得されたおそれがあると公表しました。2026年10月6日に不審なアクセスを検知し、社内調査で外部からのデータ取得が判明したとしています。
漏えいのおそれがある情報は、氏名、生年月日、性別、郵便番号、住所、電話番号、メールアドレス、ポイントカード番号、会員番号、およびパスワードのハッシュ値です。クレジットカード情報や銀行口座情報は、このシステムでは保有していないため漏えいしていないとしています。侵入経路の具体的な内容は公表されていませんが、同社は脆弱性の是正措置を講じたと説明しています。
会員管理システムは、店舗やECの会員情報を一元的に抱えるため、一度突破されると漏えい件数が一気に膨らみます。パスワードがハッシュ値（そのままでは読めない形）で保存されていた点は被害を抑える方向に働きますが、氏名・住所・電話番号・メールアドレスといった「本人を特定できる情報」が広く含まれており、フィッシングやなりすましに悪用されるおそれがあります。
自社で会員制サービスやポイントカード、メール会員などを運用している中小企業は、同じ構造のリスクを抱えています。会員データベースは、顧客の氏名・連絡先がまとまって入った「狙われやすい資産」です。特に、外部に公開しているログイン画面や会員向けサイトは、脆弱性が放置されていると格好の侵入口になります。カード情報を自社で持たない設計にしていても、氏名や連絡先が漏れれば、その顧客が自社をかたるフィッシングの標的になります。
- 会員システムや顧客データベースに外部からアクセスできる経路を把握し、使っていない公開機能や古い管理画面を閉じる
- 利用しているシステムやCMS・プラグインの脆弱性情報を定期的に確認し、更新を速やかに適用する運用を決める
- パスワードは必ずハッシュ化して保存し、保持する個人情報は業務に必要な範囲に絞る
- 不正アクセスを検知できるよう、アクセスログの保存と定期的な点検を行い、異常時に気づける体制を整える
ローソン｜ 2026年10月8日公表
ローソン、「ローソンID」に不正アクセスで215万件超が漏えい――アプリ予約ではクレジットカード番号の一部も対象に
ローソンは2026年10月8日、会員向けの「ローソンID」が不正アクセスを受け、215万5,345件の個人情報が漏えいしたと公表しました。10月7日に判明したもので、ローソンIDへの不正アクセスは9月12日から14日、ローソンアプリの予約機能への不正アクセスは9月17日に行われたとしています。
ローソンIDで漏えいした情報は、メールアドレスと氏名のほか、入力されていた場合の性別・電話番号・住所などです。これとは別に、ローソンアプリの予約機能では26件について、氏名・電話番号に加えてクレジットカード番号の一部が漏えいしたとしています。ローソンは、本来は利用者本人に情報を表示するための仕組みが第三者に不正アクセスされたと説明し、アプリの予約機能を停止したうえで個人情報保護委員会に報告しました。予約機能は10月中旬に再開予定としています。
件数の読み方には注意が必要です。漏えいの中心は215万件のローソンIDですが、クレジットカード番号の一部が含まれるのは予約機能の26件に限られます。大きな数字だけが独り歩きしがちですが、どの情報が何件漏れたのかを正確に把握することが、利用者への適切な案内と自社の対策の出発点になります。
「本来は本人にだけ表示する情報」を返す仕組みが突かれた点は、会員サイトやマイページを運用するすべての事業者に通じる教訓です。ログイン後に表示される個人情報は、利用者本人かどうかの確認（認可）が甘いと、他人の情報まで引き出される原因になります。中小企業が外部のサービスやテンプレートで会員機能を作っている場合、こうした認可の穴に気づきにくく、脆弱性診断を受けていないまま公開しているケースが少なくありません。
- マイページや会員向けAPIで、ログインした本人以外の情報を取得できない仕組み（認可のチェック）が正しく働いているか確認する
- 会員機能やECサイトを公開する前・改修時に、第三者による脆弱性診断を受けることを検討する
- カード情報は自社で保持せず決済代行会社に委ねる設計とし、保存する個人情報を最小限にする
- 不正アクセスの疑いを検知したら、速やかに該当機能を停止し、個人情報保護委員会への報告と利用者への通知の手順をあらかじめ決めておく
編集部まとめ
今号の4件に共通するのは、被害の起点が自社の正面玄関ではなく「委託先・子会社・会員システム」という、ふだん意識しにくい場所だったことです。第一興商は預けた先のPCが、ブックオフは子会社の会員システムが、ローソンは会員向けの仕組みが突かれました。自社のセキュリティを固めるだけでなく、データを預ける先や社内システムの運用まで目を配る必要があります。
Qilinの摘発は、攻撃する側が組織化された集団であり、業種・規模を問わず狙われていることを示しました。まずは委託先の管理状況の確認と、バックアップ・多要素認証という基本の徹底から始めてください。過去のニュースは記事一覧にまとめています。
参考情報
- 「ランサム集団、日本で53社被害 ドイツ移送の男、当局が逮捕」熊本日日新聞（共同通信配信）（2026年10月8日）
- 「"Qilin" Hacker Group Member Held in Japan, Sent to Germany」nippon.com（2026年10月）
- 「第一興商、委託先のPCマルウェア感染で最大872.4万件の個人情報漏えいのおそれ」ビジネス＋IT（SBクリエイティブ）（2026年10月8日）
- 「ブックオフに不正アクセス 643万件情報漏えいの可能性」熊本日日新聞（共同通信配信）（2026年10月9日）
- 「ブックオフ、最大約643万件の会員情報が漏えいのおそれ」ビジネス＋IT（SBクリエイティブ）（2026年10月9日）
- 「ローソンIDに不正アクセス、215万件の個人情報が漏えい アプリ予約ではカード番号の一部も」innovaTopia（2026年10月8日）