ドン・キホーテ、長崎屋、橘百貨店、UD リテールの4社は10月28日、時計の修理を委託している株式会社コックス（東京都台東区）のサーバがランサムウェアで暗号化され、修理を依頼した客の氏名などが漏えいしたおそれがあると発表した。対象は、4社のグループ店舗で2025年9月以降に時計の修理を頼んだ人だ。
漏えいの事実は現時点で確認されていない。ただ、暗号化されたサーバはまだ復元できておらず、漏えいの可能性を完全には否定できないため公表したという。店のレジで預けた修理品の伝票が、店の外の会社のサーバに置かれていたことになる。
対象は「2025年9月以降に時計を修理に出した人」
漏えいのおそれがあるのは3項目だ。
- 氏名
- 住所（一部）
- 電話番号（一部）
住所と電話番号は「一部」とされ、どの部分かは書かれていない。クレジットカード情報やパスワードは項目に含まれていない。お客様情報の不正利用などの二次被害は、発表時点で確認されていないという。
店舗の範囲はドン・キホーテだけでなく、連名の4社のグループ店舗に及ぶ。看板の名前が違っても同じグループの店ということがあるので、時計の修理を頼んだ店がどこだったかを思い出しておくと、対象かどうかを窓口に確かめるときの手がかりになる。
修理の委託先という、見えない経路
経緯はこうだ。委託先のコックスが9月15日にサイバー攻撃の可能性を検知し、サーバが暗号化されて閲覧できない状態になっていることを確かめて、外部からの接続を遮断した。グループ側に報告が届いたのは9月25日。そこから約1か月後の10月28日に公表された。
時計を修理に出す客がやりとりするのは店のカウンターだけだ。品物と伝票がその先でどの会社に渡り、どこで管理されているかは、利用者からは見えない。4社は今後、委託先を含めて情報管理体制を見直すとしている。
届いた連絡の見分け方
氏名と住所・電話番号の一部、そして「時計の修理を頼んだ」という事実が結びつくと、それらしい連絡を作りやすくなる。修理品の返却や追加料金、修理代の返金をうたう電話や郵便物が届いたときは、その場で応じず、修理を頼んだ店や伝票に書かれた連絡先へ自分からかけ直して確かめるのが確実だ。修理の伝票や控えを手元に残しておくと、照合がしやすい。
ただし、持ち帰った伝票をもう捨てていれば、自分がいつどの店で頼んだかを確かめる材料は記憶だけになる。お知らせには、対象者へ個別に連絡するかどうかは書かれていない。
問い合わせ先は、グループの持株会社パン・パシフィック・インターナショナルホールディングス（PPIH）の個人情報担当窓口（privacy@ppih.co.jp）だ。次に見ておきたいのは、ドン・キホーテ公式サイトのお知らせ欄に出る続報だ。委託先での調査が進み、暗号化されたサーバの復元と、漏えいの有無の確定が示されるかどうかが目安になる。
ことば
- ランサムウェア — 侵入したコンピューターのデータを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラム。近年はデータを外へ持ち出したうえで暗号化する手口もあり、漏えいの有無の確認に時間がかかりやすい。
- 業務委託先 — 店が修理や配送などの作業を任せている外部の会社。客が直接やりとりしない相手でも、作業に必要な氏名や連絡先を預かっていることがある。
修理やクリーニングで、あなたが店に預けた伝票の情報は、いまどこにあるだろうか？
