第一興商の委託先でマルウェア感染（約872万件）：ビッグエコーなどの会員の氏名・生年月日・電話番号が漏れたおそれと、利用者がやること

同社の発表によれば、対象は同社の店舗で会員登録や予約をした客の情報で、内訳は次のとおりです。いずれも約の数で、合計からは重複分（約51万5千件）が除かれています。

• ビッグエコー関連：約555万8千件
• DKダイニング関連：約346万2千件
• カラオケCLUB DAM関連：約7万4千件
• メガビッグ関連：約4万3千件
• バナナクラブ関連：約5千件
• B-GARAGE関連：約4千件

このほか、従業員情報が約9万3千件含まれます。在籍中の人だけか、退職した人も含むかは発表に書かれていません。

対象者に個別に連絡するかどうかと、自分が対象かを確かめる方法は、10月10日時点の発表にはありません。上のどれかで会員登録や予約をしたことがあるなら、対象に含まれている前提で以下を進めてください。

同社は、情報が漏えいしていた場合、なりすましメールやフィッシング詐欺に悪用されるおそれがあるとして、不審なメール、SMS、電話に注意し、身に覚えのないリンクや添付ファイルを開かないよう呼びかけています。

カラオケや飲食店の会員サービスでは、割引クーポンや会員ランク、ポイントの案内が日常的に届きます。そのため、「クーポンの受け取り」「会員情報の更新」「ポイントの失効」をうたう偽の連絡は、ふだんの案内と見分けにくくなります。リンクを開かず、公式アプリか、自分でブックマークした公式サイトから同じ案内があるかを確かめてください（見分け方は フィッシングとは）。

同社は、同社からパスワードやクレジットカード情報などを聞くことはないとしています。お詫びや補償、ポイントの付与を名目に、これらの入力を求める連絡は応じないでください。すでに入力してしまったときは、パスワードならそのサービスで変更し、カード情報ならカード会社に連絡します。

ここからは当サイトの勧めです。生年月日は、パスワードと違って後から変えられません。漏れたおそれがある以上、生年月日の4桁や6桁を、キャッシュカードやスマホの暗証番号、各種サービスのパスワードに使っているなら、別のものに変えてください。

氏名とメールアドレスも一緒に知られると、「名前＋誕生日」の組み合わせのパスワードは試されやすくなります。パスワードを作り直すなら、パスワードマネージャー で長く無関係な文字列にするのが現実的です。

電話で「ご本人確認のため」と氏名や生年月日を言われると、本物の窓口に思えます。今回の項目には氏名・生年月日・電話番号がそろっているため、そうした電話は作りやすくなります。相手から電話がかかってきた場合は、その場で答えず、いったん切って、同社の公式サイトに載っている番号に自分からかけ直してください。

同社のお問い合わせ窓口は、フリーダイヤル 0120-732-079（午前10時〜午後5時、土・日・祝日を除く）と、メール incident-desk@dkkaraoke.co.jp です（10月9日のお知らせより）。電話がつながりにくい場合はメールでも受け付けるとしています。この番号やアドレスは、届いたメールやSMSに書かれたものではなく、同社の公式サイトのお知らせで確かめてから使ってください。

集計、発送、分析などの作業を頼むとき、会員データベースをまとめて書き出して渡すと、作業に使わない列や業態のデータまで委託先の端末に載ります。作業ごとに、どの列が本当に要るかを決めてから渡します。

たとえば、年代別の集計なら生年月日ではなく年代だけ、連絡が不要な作業ならメールアドレスと電話番号は外す、氏名の代わりに会員番号を使う、といった形です。業態ごとに作業が分かれるなら、ファイルも分けて渡します。最初の1つとしては、委託先に渡している定期的なファイルを1つ選び、列ごとに「この作業で使うか」を委託先と確認するところから始めます。

データが委託先の従業員のPCに保存されると、そのPCのマルウェア対策や更新の状態が、そのまま顧客データの守りになります。委託元からは、その状態は見えません。

可能なら、委託先には委託元が管理する環境（画面だけを操作できる仮想デスクトップや、ダウンロードを止めた共有の作業場所）で作業してもらい、手元のPCにファイルを残さない形にします。どうしても手元に置く必要がある作業は、暗号化したうえで、作業が終わったら消し、消したことを報告してもらう期限を決めます。

個人情報保護法は、個人データの取扱いを委託する事業者に、委託先に対する必要かつ適切な監督を求めています（第25条）。監督の中身を具体的にするために、契約や覚書に次を書きます。

• 顧客データを扱う端末の要件：マルウェアを検知して記録する仕組み（EDR など）、OSとソフトの更新、ディスクの暗号化、私物端末での取扱いの禁止
• 顧客データを保存してよい場所と、作業後に消すまでの期限
• 感染や不正アクセスに気づいたときの連絡：影響範囲の調査が終わるのを待たずに送る第一報の期限（例：24時間以内）と、調査結果の報告の期限を分けて決める

委託先が要件を守れているかは、年に1回、端末の管理状況を書面で報告してもらうか、委託先の自己点検の結果を受け取って確かめます。