ドン・キホーテ、長崎屋、橘百貨店、UDリテールの4社が時計修理委託先コックスでランサム被害｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. ドン・キホーテ、長崎屋、橘百貨店、UDリテールの4社が時計修理委託先コックスでランサム被害
             

ドン・キホーテ、長崎屋、橘百貨店、UDリテールの4社が時計修理委託先コックスでランサム被害



ドン・キホーテ、長崎屋、橘百貨店、UDリテールの4社は10月28日、時計修理の委託先であるコックスのサーバーがランサムウェア攻撃を受け、顧客情報を含むサーバーが暗号化されたと発表した。コックスは9月15日に異常を把握していたが、暗号化されたサーバーは復元できておらず、公表までに約6週間かかっている。

概要

ドン・キホーテとグループ会社が修理業務を依頼しているコックス（東京都台東区）のサーバーに不正アクセスがあった。その結果、4社と取引のある顧客の情報を含むサーバーが暗号化された。攻撃を受けたのは4社の店舗システムではなく、委託先のサーバーである。

同一の委託先に関する4社共同の公表であり、4件の独立した攻撃ではない。

発表によると、時系列は次のとおり。

コックスは9月15日にサイバー攻撃の可能性を検知し、サーバーが暗号化されて閲覧できない状態になっていることを確認した。

外部からの接続を遮断し、9月25日にドン・キホーテ側へ報告した。

10月28日、4社が連名で顧客向けに発表した。

原因や侵入経路について、確認できた範囲では具体的な説明は公表されていない。攻撃は外部からのサイバー攻撃とされ、サーバー内がランサムウェアによって暗号化されたとされる。コックス自身の発表は、今回の調査では確認できていない。

被害・影響の範囲

対象は、4社のグループ店舗で2025年9月以降に時計の修理を依頼した顧客である。漏えいの可能性がある情報は、氏名、住所の一部、電話番号の一部の3項目とされる。

対象となる顧客の人数や情報の件数は公表されていない。件数は調査中の扱いである。

現時点では、暗号化されたサーバーの復元に至っておらず、情報漏えいの可能性を完全には否定できない。外部への流出の事実は確認されていない。

日本経済新聞によると、対象にはドン・キホーテのほか、MEGAドン・キホーテやMEGAドン・キホーテUNYなどの店舗の利用客も含まれる可能性がある。クレジットカード番号などの決済情報が含まれるかどうかは、確認できた範囲では記載がない。二次被害の報告についても、公表されていない。

企業・団体の対応

4社は発表文で、顧客に多大な迷惑と心配をかけたことを深くおわびした。今後は委託先を含め、情報管理体制の見直しを図るとしている。

個人情報保護法に基づき、4社と委託先は個人情報保護委員会へ報告した。あわせて、委託先が専門機関による調査を進めている。コックスは、サーバーへの外部経路からの接続を遮断している。

顧客への個別連絡の有無や問い合わせ窓口、フィッシングなどへの注意喚起は、確認できた範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社のシステムが無事でも、委託先の被害で顧客情報が危険にさらされることを示している。委託先の検知から委託元の公表まで約6週間かかっており、報告や公表の体制も確認しておく必要がある。氏名や電話番号だけの情報でも、委託元は説明責任を負う。

委託先への提供情報の棚卸し
修理、配送、コールセンターなど、個人情報を渡している委託先を一覧にする。提供している項目、対象期間、保管場所を整理する。長期間にわたり蓄積されていないかも確認する。

委託先への確認事項
委託先に、バックアップの有無と隔離状況、多要素認証の導入、リモート接続の管理状況を確認する。復元に必要な手順が整っているかも問う。回答は書面で残し、定期的に見直す。

インシデント報告の取り決め
委託先が異常を検知した場合の連絡期限と連絡経路を、契約書に明記する。個人情報保護委員会への報告について、役割分担も決めておく。委託先の判断を待たずに、委託元が動ける体制を作る。

フィッシング対策
流出の有無が不明な段階でも、氏名や電話番号を悪用した詐欺や連絡に備える。自社名を装った連絡の見分け方を、顧客向けに案内しておく。問い合わせ窓口も、あらかじめ決めておく。

顧客への情報提供
調査中でも、分かっている範囲を早めに知らせる方針を持つ。対象者、対象項目、窓口を整理した文面を事前に用意しておく。続報を出す時期の目安も示せるとよい。

なお、対象者数、原因や侵入経路、外部流出の有無は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。