第一興商の情報漏洩で何をするか、ビッグエコー・DKダイニング約872万件のおそれと委託先PCのマルウェア感染

第一興商で何が起きたのか、どの店の情報が対象か

第一興商が2026年10月8日に出した「委託先における個人情報漏えいのおそれについて」と、10月9日の窓口開設のお知らせをもとに、分かっていることと公表されていないことを分けて並べます。

委託先のパソコン1台がマルウェアに感染、10月5日に報告

公式発表によると、感染したのは、第一興商が個人情報の取扱いを委託している日本コロムビアグループ株式会社（発表では「NCG社」）の従業員のパソコン1台です。このパソコンには、第一興商が委託した業務に関する個人データが一時的に保管されていました。第一興商自身のシステムへの影響は確認されていないとしています。

出典：第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日）、同「お問い合わせ窓口（フリーダイヤル）開設のお知らせ」（2026年10月9日）。

日本コロムビアグループによると、パスワードなどの認証情報はリセット済みで、原因と被害の範囲は同社と外部の専門機関が調べています。委託していた業務の内容、マルウェアの種類、感染した経路は公表されていません（2026年10月12日時点）。当社が確かめた範囲では、日本コロムビア側のウェブサイトに、この件についての発表は見当たりませんでした。

ビッグエコーとDKダイニングの会員・予約の情報が中心

対象は、第一興商の店舗で会員登録や予約をしたお客様の情報のうち、判明している範囲です。公式発表は、件数を店のブランドごとに次のように示しています。

出典：第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日）。ブランドの並びは件数の多い順に当社で並べ替えました。

ビッグエコー関連が約555万8,000件で最も多く、次がDKダイニング関連の約346万2,000件です。DKダイニングは、第一興商の飲食店の総称で、公式サイトには楽蔵、じぶんどき、ウメ子の家、銀座珈琲店などのブランドが並んでいます。カラオケだけでなく、第一興商の飲食店を予約したことがある人も対象に入りうる、ということです。

お客様情報は、ブランドをまたいで重なる約51万5,000件を差し引いて約863万1,000件です。これとは別に、従業員情報が約9万3,000件あります。どの範囲の従業員の情報かは書かれていません。いつ登録した人が対象になるのか、どのサービス（アプリ・ウェブの会員、電話予約など）が含まれるのかも公表されていません。

「漏えいのおそれ」とは何か、なぜ委託先から漏れるのか

今回の発表は「漏えいした」ではなく「漏えいのおそれ」です。また、第一興商のシステムではなく、委託先のパソコンで起きた件です。この2点が利用者にとって何を意味するのかを整理します。

外部への漏えいは確認されていない、それでも公表される理由

公式発表は、現時点では、個人情報が実際に外部へ漏えいした事実も、本件に起因する個人情報の不正利用も確認されていないとしています。一方で、マルウェアに感染したパソコンに個人データが保管されていたため、外部に持ち出された可能性を否定できない、という状態です（当社の見方）。

出典：第一興商の公式発表（2026年10月8日・9日）。「書かれていない」は、発表の本文に記載がないという意味です。

個人情報保護委員会は、本人の数が1,000人を超える漏えい等が起きた場合、事業者に委員会への報告を求めています。報告の対象には、漏えいが確定した場合だけでなく、漏えいの「おそれ」がある場合も含まれます。第一興商が委員会に報告したかどうかは、公式発表に書かれていません（2026年10月12日時点）。

委員会は、本人への通知を郵送やメールなど分かりやすい方法で行うよう求め、通知が難しい場合にはホームページでの公表や問い合わせ窓口の設置といった代替の方法もありうるとしています。第一興商が対象者に個別に連絡するのか、公表と窓口で対応するのかは、会社は説明していません。

自分が使った店は無事でも、委託先から漏れることがある

会社は、顧客への連絡、データの集計や加工などの業務を、別の会社に委託することがあります。そのとき顧客の個人データは委託先にも渡り、委託先のパソコンやサーバーに保管されます。今回の件は、利用者が会員登録した第一興商のシステムではなく、委託先のパソコンで起きた例です（一般的な仕組みについての当社の説明です）。

個人情報保護法は、個人データの取扱いを委託した会社に、委託先を監督することを求めています（第25条。個人情報保護委員会のガイドライン（通則編）「委託先の監督」）。第一興商は今後の対応として、日本コロムビアグループと外部の専門機関による原因の調査と再発防止策を確かめるとともに、自社の委託先の管理のあり方を検証し、必要な強化策を講じるとしています。

利用者の側から、会社がどの委託先にどの情報を渡しているかを知ることは、ふつうはできません。このため、どこから漏れても困らないように、パスワードを使い回さないこと、届いた連絡のリンクから入力しないことが、利用者にできる備えになります（当社の見方）。

パスワードとポイントは大丈夫か、届きうる偽の連絡

漏えいのおそれがあるのは、氏名（登録名）、性別、生年月日、メールアドレス、電話番号の5つです。パスワードとポイントについて公式に分かっていることと、この5つが悪用された場合に考えられる連絡を分けて見ます。

パスワードは含まれず、ポイントはこの情報だけでは使えない

公式発表は「漏えいのおそれがある情報にパスワードは含まれておらず、この情報のみでお客様のポイントを利用することはできません」としています。ポイントの不正利用も確認されていません。公式発表に、会員にパスワードの変更を求める記載はありません（2026年10月12日時点）。

DKダイニングの公式サイトによると、DKポイントは1ポイント1円相当で、100ポイント単位で割引に使えます。ポイントが不正に使われた場合の補償の方針は公表されていません。気になる場合は、メールのリンクからではなく、自分で開いた公式アプリや公式サイトで残高と利用の記録を確かめます。

パスワードは今回の項目に含まれていませんが、同じパスワードを複数のサービスで使っていると、別の漏えいで知られたパスワードが使われることがあります。これは今回の件に限らない一般的な注意です（当社の見方）。

名前・生年月日・電話番号がそろった連絡に注意する

第一興商は、情報が悪用されると、なりすましメールやフィッシング詐欺に使われるおそれがあるとして、「不審なメール、SMS、お電話などには十分ご注意いただき、身に覚えのないリンクや添付ファイルを開かないようお願い申し上げます」と呼びかけています。

今回の項目には、メールアドレスと電話番号の両方が入っています。そのため、メールやSMSだけでなく、電話がかかってくることも考えておく必要があります。氏名や生年月日が正しく言い当てられても、それは本物である証拠になりません（当社の見方）。

出典：第一興商の公式発表（2026年10月8日）と窓口開設のお知らせ（2026年10月9日）。電話番号とメールアドレスは、メールに書かれたものではなく、第一興商の公式サイトで確かめてください。

第一興商は「当社からパスワードやクレジットカード情報などをお伺いすることはございません」としています。第一興商、ビッグエコー、DKダイニングを名乗っていても、これらを尋ねる連絡には応じないようにします。警察庁は、メールやSMSのリンクを安易にクリックせず、ブックマークや公式アプリから正しいサイトに接続するよう呼びかけています。

ビッグエコーやDKダイニングを使った人が今できる3つのこと

第一興商の公式発表と、警察庁の案内をもとにまとめました。対象かどうかの連絡を待たずにできることです。

よくある質問

第一興商の情報漏洩で、自分が対象かどうかはどう分かりますか

対象は、第一興商の店舗で会員登録や予約をしたお客様の情報のうち判明している範囲で、ビッグエコーやDKダイニングなどが含まれます。対象者に個別に連絡する予定は、2026年10月12日時点で公表されていません。気になる場合は、公式サイトで確かめた窓口に問い合わせます。

約872万件の個人情報は本当に漏れたのですか

第一興商は、外部へ漏えいした事実も、本件による不正利用も確認されていないとしています。委託先のパソコンがマルウェアに感染し、そこに個人データが保管されていたため「漏えいのおそれ」として公表したものです。

ビッグエコーやDKダイニングのパスワードは変える必要がありますか

漏えいのおそれがある情報にパスワードは含まれていないと第一興商は説明しており、公式発表にパスワードの変更を求める記載はありません。同じパスワードを複数のサービスで使っている場合は、今回の件に限らず、サービスごとに別のパスワードにしておくと安心です。

ポイントは大丈夫ですか

第一興商は、この情報だけでポイントを利用することはできないとしており、ポイントの不正利用も確認されていません。残高や利用の記録が気になる場合は、メールのリンクではなく、自分で開いた公式アプリや公式サイトで確かめます。

なぜ第一興商ではなく委託先から漏れたのですか

第一興商は、個人情報の取扱いを日本コロムビアグループに委託しており、その従業員のパソコンに委託業務の個人データが一時的に保管されていました。委託した業務の内容や感染の経路は公表されていません。個人情報保護法は、委託した会社に委託先を監督することを求めています。

第一興商やビッグエコーを名乗る連絡が届いたらどうすればいいですか

第一興商は、パスワードやクレジットカード情報などを尋ねることはないとしています。メールやSMSのリンク、添付ファイルは開かず、電話では答えずに切り、公式サイトで調べた窓口で確かめます。名前や生年月日が合っていても、本物の証拠にはなりません。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社ですが、2026年10月から、身近なサービスで起きた情報漏えいについて、公表資料で確かめられることを整理する記事を公開しています。第一興商の件では、公式発表と公的機関の案内を分けてまとめました。