- 外部委託先でのマルウェア感染により、顧客・従業員870万人分のデータが流出した可能性
- 流出の可能性があるのは個人情報。決済データは含まれず、悪用も確認されていない
- サプライチェーンリスクが浮き彫りに。第一興商は調査を進め、委託先のセキュリティを見直し中
エンターテインメント業界も、情報を狙うサイバー犯罪者から無縁ではありません。日本を代表するエンターテインメントシステムメーカーの一つである第一興商は、サプライチェーン上でマルウェア感染が発生し、顧客と従業員を合わせて870万人分の情報が侵害された可能性があると公表しました。
機械翻訳された情報漏えいのお知らせには、次のように記されています。「当社が個人情報の取り扱いを委託している日本コロムビアグループ（NCG）から、NCG従業員が使用する端末がマルウェアに感染し、当社の顧客情報が漏えいした可能性があるとの報告を受けました」
「現時点では、個人情報が実際に外部へ漏えいした事実や、本件に起因する不正利用は確認されておりません。ただし、個人情報が漏えいした可能性を否定できないため、現在把握している情報と今後の対応について、以下のとおりお知らせします。なお、当社のシステムに影響がないことも確認しております」
サプライチェーン攻撃
この表現はあえて曖昧にされていますが、第一興商自体が直接侵害されたわけではないため、明らかにサプライチェーン攻撃です。
侵害を受けたのは日本コロムビアグループです。同グループは2025年、Faithの組織再編を経て発足しました。そのルーツは1910年にさかのぼり、前身は日本初のレコード会社となりました。現在、Faithは日本コロムビアグループを、AIを活用したエンターテインメントとコンテンツ配信に注力する新組織として設立しています。
一方の第一興商は、日本を代表するカラオケ・エンターテインメント企業の一つです。1973年に創業し、現在は「DAM」カラオケシステムと、カラオケ店舗「ビッグエコー」で広く知られています。実際、同社は日本全国で400以上のカラオケ店舗を運営しており、東京だけでも100店舗を超えます。
同社はカラオケ機器の販売・レンタルに加え、飲食店などの運営や、音楽・映像の制作も手がけています。第一興商は大規模な企業で、年間売上高は約1630億円（約10億6000万ドル）に上ります。
マルウェア感染
BleepingComputerによると、第一興商は顧客の個人情報の取り扱いをNCGに委託しています。2026年10月5日、NCGは第一興商に対し、マルウェア感染を確認し、その翌日に影響を受けたシステムを隔離したと通知しました。同社がどのような経緯で感染したのか、またどのような種類のマルウェアだったのかは分かっていません。判明しているのは、従業員9万3000人分と顧客863万1000人分の記録が流出した可能性があるという点です。
これらの記録には、氏名、性別、生年月日、メールアドレス、電話番号が含まれています。影響を受けたのは、BIG ECHO、MEGA BIG、カラオケCLUB DAM、バナナクラブ、B-GARAGE、DKダイニングの顧客などです。通知によると、パスワード、ポイント情報、決済データは流出していません。さらに、ダークウェブ上でデータが悪用された形跡も確認されていません。
それでも第一興商は、従業員と顧客に対し、受信するメール、特に同社をかたる身に覚えのないメールには警戒するよう呼びかけました。
個人を特定できる情報は、闇市場で価値を持ちます。攻撃者がこれを使い、個人に合わせて巧妙に作り込んだフィッシング攻撃を仕掛けられるためです。
こうした攻撃によって、攻撃者は企業環境のログイン認証情報を盗み出したり、情報窃取型マルウェア（インフォスティーラー）を仕込んでパスワードを奪ったりできます。その結果、企業のITインフラへ侵入範囲を広げ、機密情報などのデータを盗み、永続的な足場を築くことが可能になります。最終的には、盗んだファイルを競合他社や一般に公開すると脅し、被害者に身代金の支払いを迫ることにつながります。
第一興商は、「引き続き状況を注視し、不正利用の兆候を確認した場合は必要な措置を講じます」としています。
また、念のため他のシステムの点検を進めているほか、委託先の管理体制に改善の余地がないかも検証しているとのことです。
機械翻訳された通知には、「今後の調査で新たな事実が判明した場合は、影響を受けたお客様や講じる措置も含め、速やかにお知らせします」と記されています。
