要点
発表された事実
- ドン・キホーテ、長崎屋、橘百貨店、UDリテールの4社は2026年10月28日、修理業務を委託している株式会社コックス（東京都台東区）のサーバーが不正アクセスを受け、顧客情報を含むサーバーが暗号化されたと公表した（ドン・キホーテほか）。
- 対象は、4社の店舗で2025年9月以降に時計の修理を依頼した顧客。項目は氏名、住所（一部）、電話番号（一部）（同）。
- 2026年9月15日に委託先がサイバー攻撃の可能性を検知し、サーバーが暗号化されて閲覧できないことを確認、外部からの接続を遮断した。9月25日に委託先から4社へ報告があった（同）。
- 専門機関の調査で漏えいの事実は確認されていないが、暗号化されたサーバーを復元できておらず、可能性を否定できないとしている。二次被害は確認されていない。個人情報保護委員会へ報告済み（同）。
わかっていないこと
- 対象となる顧客の人数
- 情報が外部へ持ち出されたかどうか
- 侵入経路、ランサムウェアの種類、犯行声明の有無
- コックスの他の取引先への影響
関係しそうな既知の手口
- （考察）ランサムウェア攻撃では、暗号化の前にデータを持ち出して公開をちらつかせる二重恐喝が一般的になっている。持ち出しの有無は、ログが残っていなければ確かめにくい。
概要
- ドン・キホーテなどが時計修理を任せていた会社がランサムウェアに感染し、修理を頼んだ客の氏名や連絡先が入ったサーバーが暗号化された。
- 人数は公表されておらず、漏えいも確認されていない。
- 検知から4社への報告まで10日、公表まで約1か月半かかった。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2025-09〜 | 対象期間の開始（この月以降に時計修理を依頼した顧客が対象）（4社） |
| 2026-09-15（火） | 委託先がサイバー攻撃の可能性を検知。サーバーの暗号化を確認し、外部からの接続を遮断（同） |
| 09-25（金） | 委託先から4社へ報告（同） |
| 10-28（水） | 4社が公表（同） |
発表内容の整理
事実（4社、10月28日）
| 項目 | 内容 |
|---|---|
| 委託先 | 株式会社コックス（東京都台東区竜泉） |
| 発表した会社 | ドン・キホーテ、長崎屋、橘百貨店、UDリテール |
| 対象 | 2025年9月以降に4社の店舗で時計修理を依頼した顧客 |
| 項目 | 氏名、住所（一部）、電話番号（一部） |
| 原因 | 委託先のサーバーがランサムウェアで暗号化 |
| 漏えい | 確認されていないが、サーバーの復元ができておらず否定できない |
| 窓口 | パン・パシフィック・インターナショナルホールディングス 個人情報担当窓口 |
考察
対象を「2025年9月以降」と区切っているのは、委託先のサーバーにその時期以降のデータが置かれていたためとみられるが、発表では理由は説明されていない。人数を出していないのは、暗号化されたサーバーを復元できず、件数を数えられないためと読める（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは、国内組織で相次ぐ不正アクセスの類型として、既知の脆弱性の悪用や機器の管理不備を突いた侵入などを挙げている（JPCERT/CC）。
考察
小規模な委託先は、VPN機器やリモート接続の更新が遅れがちで、ランサムウェアの入口になりやすい。今回の侵入経路は公表されていない（考察）。
利用者・運用者がいまできること
- 2025年9月以降に4社の店舗で時計修理を頼んだ人は、修理や返金を装った電話・SMSに注意する。
- 小売事業者は、修理など店頭業務の委託先にどの顧客情報を渡しているか、保管期間と削除の取り決めを確認する。