ドン・キホーテなど4社、時計修理の委託先がランサムウェア被害 サーバーが復元できず漏えいを否定できず

事案の概要データ

図解：この事故の構造

何が起きたのか

ドン・キホーテ、長崎屋、橘百貨店、UDリテールの4社は2026年10月28日、時計の修理業務を委託している株式会社コックスのサーバーが不正アクセスを受け、顧客情報を含むサーバーが暗号化される被害が生じたと公表しました。

対象は、グループ店舗で2025年9月以降に時計の修理を依頼した顧客です。漏えいの可能性がある項目は、氏名、住所（一部）、電話番号（一部）とされています。件数は公表されていません。

委託先が攻撃の可能性を検知したのは2026年9月15日です。従業員がサーバーを確認したところ、暗号化されて閲覧できない状態になっており、外部経路からの接続を遮断しました。

グループへ報告されたのは9月25日。公表は10月28日です。

「暗号化されて中身が読めないから、何が漏れたか分からない」

この事案の核心は、公表文のこの一節です。ランサムウェアによって暗号化されたサーバーの復元に至っておらず、漏えいの可能性が完全には否定できない、という説明です。

ランサムウェアの被害には、2つの困りごとがあります。

1つ目は、業務が止まること。 データが暗号化され、使えなくなります。これは分かりやすい被害です。

2つ目は、調べられなくなること。 これが見落とされがちです。

漏えいしたかどうかを調べるには、そのサーバーに何が入っていたか、どんな通信が外に出たかを確認する必要があります。ところが、肝心のデータもログも暗号化されてしまうと、調べる材料がありません。

結果として、「漏えいした事実は確認されていないが、否定もできない」という中途半端な公表になります。顧客からすれば、自分が対象かどうかも分かりません。会社としても、謝りようがありません。

この事案では、検知から公表まで1か月半かかっています。調査に時間がかかったのは、この「調べられない」状態が理由だと考えられます。

だからバックアップは「別の場所」に置く

ランサムウェア対策としてバックアップが大事だ、という話はよく聞きます。しかし、どこに置くかまで考えている会社は多くありません。

同じサーバーの別フォルダ、社内の共有NAS、つながったままの外付けハードディスク。これらは、ランサムウェアに一緒に暗号化されます。攻撃者は、バックアップを探して先に壊してから本体を暗号化するからです。

必要なのは「切り離されたバックアップ」です。方法は3つあります。

1. 外付けディスクを、バックアップのときだけつなぐ。 終わったら物理的に外して、金庫や別の場所に保管します。最も安く、確実です。

2. クラウドのバックアップサービスを使う。 ただし、常時同期しているクラウドストレージ（共有フォルダのようなもの）は、暗号化されたファイルがそのまま同期されます。世代管理（過去の状態に戻せる機能）があるかを確認してください。

3. 書き換えできない形で保存する。 一度書いたら変更できない設定にできるサービスがあります。

そして、ログも同じです。アクセスログを同じサーバーに置いていたら、一緒に暗号化されます。調査のためのログは別の場所に送っておいてください。

検知から公表までの時間をどう読むか

時系列を並べると、こうなります。9月15日に委託先が検知。9月25日にグループへ報告（10日後）。10月28日に公表（検知から43日後）。

まず、委託先からグループへの報告に10日かかっています。これは長いです。委託先の社内で状況を把握し、報告すべきか判断するのに時間がかかったと考えられます。

委託契約に「事故を検知したら何時間以内に第一報」と書いてありますか。 書いていなければ、相手は自分のペースで判断します。「24時間以内に第一報、分かっている範囲でよい」と決めておいてください。

次に、報告から公表まで1か月以上かかっています。これは、前述のとおり調査が進まなかったためと見られます。調査が終わらなくても「現時点で分かっていること」を出す判断もありえますが、対象顧客を特定できない状態では、連絡のしようがありません。

なお、個人情報保護法では、漏えい等が発生したときは速やかに個人情報保護委員会へ速報（原則3〜5日以内）、30日以内に確報を出す必要があります。本件では、グループと委託先の両方が報告済みとされています。

公表が遅いことを責めるより、自社なら同じ状況で何日かかるかを考えてみてください。 委託先の一覧も、緊急連絡先も、報告期限の取り決めもなければ、もっとかかります。

時計の修理に個人情報が必要な理由

「時計の修理で、なぜ氏名と住所と電話番号が必要なのか」と思うかもしれません。

修理は、預かって、直して、返す仕事です。預かり証を出し、完了したら連絡し、郵送で返すこともあります。だから、連絡先が要ります。

こうした業務は、自社でやらず専門の会社に委託することが多いです。百貨店や量販店が時計の修理工房を自前で持つのは効率が悪いからです。

そのとき、顧客の情報も一緒に渡されます。顧客は「ドン・キホーテに修理を頼んだ」と思っていますが、データは委託先にあります。

中小企業でも同じことをしています。配送、印刷、名簿管理、採用、給与計算、クレーム対応。どれも、顧客や従業員の情報が外に出ます。

自社から情報が出ていく先を、全部書き出せますか。 書き出せないなら、事故が起きたときに把握もできません。

時系列で見る経過

• 2025年9月以降グループ店舗で時計の修理を依頼した顧客の情報が対象
• 2026年9月15日委託先が、自社サーバーへのサイバー攻撃の可能性を検知。従業員が確認したところ、サーバーが暗号化され閲覧不能に。外部経路からの接続を遮断
• 2026年9月25日委託先からグループ各社へ報告
• 2026年10月28日ドン・キホーテ、長崎屋、橘百貨店、UDリテールが連名で公表。個人情報保護委員会へ報告済み
• 2026年10月28日時点暗号化されたサーバーの復元に至っておらず、漏えいの可能性を完全には否定できない状態

中小企業が学ぶべきポイント

1. ランサムウェアの被害は「業務が止まる」だけではない。データもログも暗号化され、何が漏れたかを調べられなくなる。
2. 調べられないと「漏えいは確認されていないが否定もできない」という公表しかできず、顧客も会社も動けない。
3. バックアップは切り離した場所に置く。つながったままの外付けディスクやNASは一緒に暗号化される。
4. 常時同期型のクラウドストレージは、暗号化されたファイルがそのまま同期される。世代管理があるか確認する。
5. アクセスログを同じサーバーに置かない。調査のためのログは別の場所へ送る。
6. 委託契約に「検知から24時間以内に第一報」を書く。書いていなければ相手は自分のペースで判断する。
7. 自社から情報が出ていく委託先を、全部書き出せる状態にしておく。

出典・参考

• 業務委託先における不正アクセス被害に関するお知らせとお詫び - ドン・キホーテ・長崎屋・橘百貨店・UDリテール
• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope