委託先のPC1台の感染で872万件が漏えいのおそれ｜第一興商の事例から考える、PCに保存されたデータと認証情報の守り方

2026年10月8日、株式会社第一興商は、個人情報の取扱いを委託している日本コロムビアグループ株式会社（以下、委託先）で従業員のPCがマルウェアに感染し、約872万4,000件の個人情報が漏えいしたおそれがあると公表しました。感染したのはPC1台です。

この記事では、公表された事実を確認したうえで、「なぜPC1台でここまでの件数になるのか」「パスワードをリセットしたのはなぜか」を整理し、委託する側・委託される側の両方の立場で、自社が確認しておきたいことをまとめます。なお、原因や被害範囲は公表時点で調査中です。この記事は特定の企業の対応を評価するものではなく、公表内容から一般に学べる点を扱います。

公表された事実

第一興商の公表内容（2026年10月8日、10月9日追記）を要約すると、次のとおりです。

• 2026年10月1日から2日にかけて、委託先の従業員の端末（PC1台）でマルウェアの感染が判明し、10月2日に当該端末をネットワークから隔離した
• 第一興商は、委託先による影響範囲の調査を経て、10月5日に報告を受けた
• 当該端末には、委託した業務に関する個人データが一時的に保管されていた
• 漏えいのおそれがあるのは、店舗で会員登録や予約をした顧客の氏名（登録名）・性別・生年月日・メールアドレス・電話番号など、顧客約863万1,000件と従業員約9万3,000件の合計約872万4,000件
• 委託先は、認証情報であるパスワード等をリセット済みで、漏えいの有無を含め原因や被害範囲を調査中
• 公表時点で、実際の外部への漏えい、本件に起因する不正利用、第一興商のシステムへの影響は確認されていない

「漏えいした」ではなく「漏えいしたおそれを否定できない」という段階での公表です。個人情報保護法では、不正の目的によるおそれがある漏えいは、おそれの段階でも報告と本人への通知の対象になります（個人情報漏えいの報告義務と期限）。

なぜPC1台の感染で、ここまでの件数になるのか

公表内容によれば、対象のデータは感染したPCそのものに一時的に保管されていたものです。社内のサーバーに広がったという説明はありません。つまり件数の大きさは、攻撃の規模ではなく、1台のPCにどれだけのデータが置かれていたかで決まっています。

業務の都合でデータをPCに書き出すことは、どの会社でも起こります。集計のためにシステムから一覧を出力する、委託先に作業用のファイルを渡す、といった場面です。作業が終わった後に消す運用になっていても、「一時的に」のつもりのファイルが残り続けることは珍しくありません。

感染後にパスワードをリセットする意味

今回、委託先はパスワード等の認証情報をリセットしたと報告しています。マルウェアに感染したPCでは、そのPCで入力された、あるいは保存されていたID・パスワードが盗まれている可能性を考える必要があるためです。

一般に、盗まれた認証情報が危険なのは、同じID・パスワードで、他のPCやサーバー、クラウドにログインできてしまうからです。攻撃者が正規のIDとパスワードでログインすると、ログの上では通常の業務と区別がつきにくくなります。最初の1台の被害が、社内の他の端末へ広がっていくのは、多くの場合この経路です（今回の事案で、そうした不正ログインがあったとは公表されていません）。

パスワードのリセットは、盗まれた情報を使えなくするための正しい初動です。ただし、リセットするまでの間は盗まれたパスワードが有効なままです。感染に気づくまでに時間がかかれば、その間に使われるおそれがあります。

そこで考えておきたいのが、パスワードが盗まれていても、それだけではログインできない状態にしておくことです。メールやクラウドでは多要素認証が広まりましたが、社内のWindows PCやサーバーへのログインはパスワードだけ、という会社はまだ少なくありません。方式の選び方はWindows OSログインの2要素認証で整理しています。

委託先から「PCが感染した」と連絡を受けたら確認する5項目

中小企業は、業務を委託する側にも、委託を受ける側にもなります。委託先から感染の連絡を受けたときに聞くべきことを、あらかじめ決めておくと初動が早くなります。

1. どのデータが、その端末に置かれていたか — 自社が渡したデータのうち、どの範囲が含まれるか。件数と項目
2. いつ感染し、いつ隔離したか — 感染から隔離までの期間。この間に外へ送られた可能性がある
3. その端末で使われていた認証情報は何か、リセットは済んだか — 自社のシステムに入るためのIDが含まれていれば、自社側でも無効化が必要
4. その端末から、他のどこにログインできたか — 委託先の社内サーバーや共有フォルダ、自社が提供したシステムなど
5. 誰が調査し、いつ結果が出るか — 外部の専門事業者が入っているか。報告義務の期限に間に合うか

3と4は、自社の被害範囲を決める項目です。委託先のPCから自社のシステムに入れる状態だったなら、委託先の問題では済みません。委託先に発行しているアカウントの管理は委託先・外部業者のアカウント管理、委託先に確認する項目の全体は委託先のセキュリティ確認項目で扱っています。

自社のPCで、今日確認できること

• 個人データの一覧が、個人のPCに保存されたままになっていないか — デスクトップやダウンロードフォルダに、作業後のファイルが残っていないか
• PCへのログインが、パスワードだけで通る状態になっていないか — 盗まれたパスワードで、他のPCやサーバーに入れてしまわないか
• 同じパスワードを、複数のPCやサーバーで使い回していないか — 管理者アカウントで特に起きやすい（ローカル管理者パスワードの管理）
• 感染に気づいたとき、端末を隔離する手順が決まっているか — 誰が判断し、誰に連絡するか

いま入られていないかを確かめる方法は不正アクセスされたか調べる方法、被害が広がった場合にかかる費用は不正アクセスの被害額で整理しています。

他の事例：侵入経路と、入られた後の広がり方

公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。

• アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
• アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
• 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
• 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
• オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
• 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
• フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された

出典

• 株式会社第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日、10月9日追記）

記事中の事実関係は、上記の公表内容（2026年10月15日時点で確認）に基づきます。調査の進展により内容が更新される可能性があります。

いまの運用を棚卸ししてみる

PCに何が置かれ、そのPCのパスワードで他にどこへ入れるか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。