第一興商（ビッグエコー）で約872万件が漏えいのおそれ 委託先のPC1台のマルウェア感染が発端

事案の概要データ

図解：この事故の構造

何が起きたのか

第一興商は2026年10月8日、個人情報の取り扱いを委託している日本コロムビアグループでマルウェア感染が確認され、約872万4,000件の個人情報が漏えいしたおそれがあると公表しました。内訳は、ビッグエコーで会員登録した顧客情報などが約863万件、従業員情報が約9万件です。

発端は、日本コロムビアグループが2026年10月1日から2日にかけて不正アクセスを受け、従業員のパソコン1台がマルウェアに感染したことでした。第一興商が報告を受けたのは10月5日です。

現時点で、個人情報が外部に漏えいした事実や、情報を使った不正利用は確認されていないとされています。

パソコン1台から872万件

この事案の構造をひとことで言えば、「パソコン1台のマルウェア感染が、872万件の漏えいのおそれにつながった」ということです。

なぜそこまで広がるのか。委託先の従業員が業務のために、委託元から預かった大量の個人情報を自分の端末で扱える状態にあったためと考えられます。印刷、発送、データ処理——こうした業務では、一度に数百万件規模のデータを扱うことがあります。

逆に言えば、1人の担当者が一度にアクセスできる件数を制限していれば、同じ感染でも被害は小さくなっていた可能性があります。「必要な分だけ、必要な期間だけ渡す」という原則が、そのまま被害規模を左右します。

委託先経由の事案が止まらない

2026年は、委託先を経由した情報漏えいが繰り返された年でした。4月のYCC情報システム（複数自治体・約51万件）、9月の両毛システムズ（大東ガスなど3組織）、10月5日〜7日のスカラコミュニケーションズ（大和証券・シチズン時計・損害保険ジャパン）、そして今回の第一興商です。

委託元から見れば、自社のシステムは何も破られていません。それでも、顧客に説明し、謝罪し、問い合わせに対応するのは自社です。

中小企業でも、給与計算、記帳代行、名簿印刷、ホームページ運用など、外部に預けているデータは必ずあります。まずは「どこに、何を、何件預けているか」の一覧を作ってください。この一覧がないと、委託先の事故がニュースになったとき、自社が影響を受けるかどうかを判断するのに何日もかかります。

「漏えいのおそれ」という段階

公表では「漏えいしたおそれ」とされ、外部への漏えいの事実は確認されていないと明記されています。

これは、感染した端末からデータを持ち出せる状態だったことは分かるが、実際に外部へ送信された証拠は見つかっていない、という段階です。10月5日のホワイトエッセンス（約105万アカウントの「持ち出しを確認」）とは意味が異なります。

ただし利用者としては、最悪を想定して行動するのが安全です。第一興商を装った不審なメール・電話・SMSには警戒してください。

時系列で見る経過

• 2026年10月1日〜2日委託先の日本コロムビアグループが不正アクセスを受け、従業員のパソコン1台がマルウェアに感染
• 2026年10月5日第一興商が委託先から報告を受ける
• 2026年10月8日約872万4,000件の漏えいのおそれを公表（顧客 約863万件／従業員 約9万件）
• 2026年10月8日外部への漏えいの事実および不正利用は現時点で確認されていないと説明

中小企業が学ぶべきポイント

1. 委託先に渡すデータは「必要な分だけ、必要な期間だけ」。全件を渡さない。
2. 委託先の担当者が一度にアクセスできる件数を制限する契約・設定にする。
3. どこに・何を・何件預けているかの一覧を作る。事故時の判断が数日変わる。
4. 委託先で事故が起きたときの報告期限を契約に明記する（例：覚知から24時間）。
5. 「漏えいのおそれ」と「持ち出しを確認」は意味が違う。公表文の表現に注目する。

出典・参考

• 「ビッグエコー」の第一興商、個人情報872万件漏洩の恐れ - 日本経済新聞
• 第一興商で個人情報漏えいのおそれ ローソンでは漏えいが確認 - NHK
• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope