ビッグエコーなど第一興商872万件の情報漏えいのおそれ、漏れたかもしれない電話番号と生年月日で何をされるのかまとめました

2026年10月8日、株式会社第一興商は、業務の委託先である日本コロムビアグループ株式会社（以下、委託先）で従業員のPC1台がマルウェアに感染し、約872万4,000件の個人情報が漏えいしたおそれがあると公表しました[1]。対象は、同社の店舗で会員登録や予約をした客の情報と、従業員の情報です。漏えいのおそれがあるのは、氏名（登録名）・性別・生年月日・メールアドレス・電話番号の5つで、パスワードは含まれていないとしています[1]。ただ、それで安心とは言い切れません。

「自分の電話番号や生年月日で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れたおそれのある情報が悪用されうる場面と、会員向けアプリの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は短くとどめます。

この記事の要点

• 名前・生年月日・電話番号まで正しく入った偽のSMSやメールが届きやすくなります。
• SMSで届く認証コードは、だれに聞かれても教えないことが大切です。
• 会社側がまず見直したいのは、電話番号を変えた時などの本人確認で、漏れた項目に頼っていないかどうかです。

なお、本記事は公表文や公式のよくある質問、アプリストアの説明など、公開情報だけをもとにしています。アプリの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2]によると、概要は次のとおりです。

10月9日には、専用の問い合わせ窓口（フリーダイヤルとメール）を開いたと続報を出しています[2]。同社は、不審なメール・SMS・電話への注意を呼びかけ、パスワードやクレジットカード情報を同社から尋ねることはないとしています[1]。

漏れたおそれのある情報で、何ができてしまうか

パスワードが含まれていない点は、不幸中の幸いです。ただ、今回の5項目には共通点があります。どれも「本人らしさ」を示すために、さまざまな場面で使われている情報だということです。

大事なのは、どれも「知っていれば本人らしく見える情報」だという点です。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

このサービスで認証が使われる場所

公表文は、漏えいのおそれがある情報をどのアプリやサービスで集めたものか、細かくは書いていません[1]。ここでは、会員向けの「カラオケ ビッグエコー 公式アプリ」[8]について、公式のよくある質問で確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文の対策は、システムの点検と委託先管理の検証・強化です[1]。一方で、会員のログインや本人確認の方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 電話番号の変更や問い合わせでの本人確認から、漏れた項目を外す。以前の電話番号や生年月日が合っていれば本人という扱いになっていないか。仕組みを作り直さなくても、運用の見直しから始められます。
2. 電話番号ログインの「持っているか」の確かめ方を見直す。今は認証コードをSMSで送る形です。偽のSMSや電話でコードを聞き出されるリスクを踏まえ、利用者への注意の出し方と、確認方法そのものを点検する余地があります。
3. 委託先に渡す個人データと、それを扱う端末・アカウントの守りを確かめる。今回の事故は、委託先のPCで起きました。渡すデータを必要な分に絞れているか、扱う人のログインがパスワードだけになっていないか、という観点です。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、漏えいのおそれがある約863万件の客の情報には、電話番号の項目が含まれています。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届く認証コードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[9]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。加えて一般的に、届いたコードを利用者が入力する形のため、偽のサイトや電話にコードを伝えてしまう余地も残ります。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確かめ方を見直す方法については、お気軽にご相談ください。

お問い合わせはこちら