ドン・キホーテの情報漏洩の可能性｜時計修理の委託先がランサムウェア被害 2025年9月以降に修理を頼んだ人が確かめること 2026

2026年10月29日

＠SOHO編集部

この記事のポイント

✓ドンキの情報漏洩の可能性について
✓2026年10月28日の公式発表をもとに整理
✓時計修理の委託先コックスがランサムウェア被害を受け

ドンキの情報漏洩の可能性について、株式会社ドン・キホーテ、株式会社長崎屋、株式会社橘百貨店、UDリテール株式会社の4社は2026年10月28日、時計の修理を委託している株式会社コックスのサーバがランサムウェアで暗号化され、2025年9月以降にグループ店舗で時計の修理を頼んだ客の氏名、住所（一部）、電話番号（一部）が漏えいした可能性を否定できないと発表しました。 4社は「現時点で個人情報の漏えいの事実は確認されていない」とも書いており、漏えいが確定した事案ではありません。該当しそうな人がまずすることは、ドン・キホーテやグループ会社、修理業者を名乗る電話・SMS・郵便に慎重になり、支払いや個人情報の入力を求められても応じないことです。

この記事では、2026年10月29日時点の公式発表の内容を、時系列と項目の表で整理します。あわせて、自分が対象かどうかの考え方、偽の連絡の見分け方、問い合わせの方法、そして2025年10月に公表された別の委託先の事案との違いを順に説明します。

ドン・キホーテなど4社が2026年10月28日に公表した内容

公表の文書は「業務委託先における不正アクセス被害に関するお知らせとお詫び」という題で、ドン・キホーテの公式サイトにPDFで掲載されています。連名の4社は、株式会社ドン・キホーテ、株式会社長崎屋、株式会社橘百貨店、UDリテール株式会社です。いずれもパン・パシフィック・インターナショナルホールディングス（以下、PPIH）のグループ会社で、問い合わせの窓口もPPIHの個人情報担当窓口になっています。

被害を受けたのは、ドン・キホーテ本体のシステムではありません。グループが時計などの修理の業務を依頼している委託先、株式会社コックス（東京都台東区）のサーバです。このサーバが外部からサイバー攻撃を受け、ランサムウェアによって中身が暗号化されました。その中に、グループから修理の業務で預けていた客の情報が含まれていた、というのが発表の骨子です。

委託先にて運用・管理するサーバが、外部よりサイバー攻撃を受け、サーバ内がランサムウェアにより暗号化され、これに伴い、当社からの業務委託により受領した上記情報も暗号化されたことによるものと考えられます。出典: donki.com（業務委託先における不正アクセス被害に関するお知らせとお詫び）

対象になりうるのは「弊社グループ店舗にて2025年9月以降に時計の修理をご依頼いただいたお客様」と書かれています。電池交換の扱いや、何件が対象になるのかは、発表には書かれていません。件数の記載がないため、この記事でも件数は書きません。

発表の中で特に大事なのは、次の2つの文が並んでいる点です。 1つは「現時点で個人情報の漏えいの事実は確認されていない」こと、もう1つは「その可能性が完全に否定できるものではない」ことです。 4社は、可能性を否定しきれないために客に知らせる、という立場で文書を出しています。読む側も、「漏れた」と受け取るのではなく、「漏れた可能性が残っているので、念のため備える」と受け取るのが正確です。

公表までの経緯を時系列で確かめる

発表の【経緯】の欄をもとに、日付の順に並べると次のようになります。委託先が攻撃に気づいてから客への公表まで、およそ1か月半がたっています。

日付	起きたこと（公式の記載）
2025年9月以降	対象になりうる時計の修理の受付が始まる期間の起点
2026年9月15日	委託先がサーバへのサイバー攻撃の可能性を検知。サーバが暗号化され閲覧できない状態を確認し、外部からの接続を遮断
2026年9月25日	委託先から4社のグループへ報告
2026年10月28日	4社が連名で公表。個人情報保護委員会への報告と、委託先での専門機関の調査を実施していると記載
2026年10月29日時点	暗号化されたサーバの復元に至っておらず、漏えいの有無は調査中。二次的な被害は確認されていないと記載

この表で目を引くのは、2025年9月という期間の始まりです。修理の依頼から最長で1年あまりのあいだの客の情報が、委託先のサーバに残っていたと読めます。なぜ2025年9月以降なのかという理由は、発表には書かれていません。委託先が修理の受付から返却までの記録をどのくらいの期間保存していたかも、公表の範囲では分かりません。

もう1つ、公表の時点で「サーバの復元に至っていない」と書かれている点も押さえておきます。暗号化されたデータを元に戻せないと、攻撃者がデータを持ち出したかどうかを示す記録（ログ）を十分に調べられないことがあります。 4社が「漏えいの事実は確認されていない」と「可能性は否定できない」を同時に書いているのは、この調べきれない状態を反映したものと考えられます。続報が出るとすれば、調査で持ち出しの有無が分かった時点になります。ドン・キホーテのニュースの一覧や、PPIHのお知らせを、時々開いて確かめておくと見落としません。

漏えいの可能性がある項目と、発表に書かれていない項目

発表で「漏えいの可能性の生じた個人情報の項目」として挙げられているのは3つです。一方で、クレジットカードの番号や生年月日などについては、含まれるとも含まれないとも書かれていません。「書かれていない」ことと「含まれないと明記されている」ことは別なので、表を分けて整理します。

区分	項目	発表の書き方
漏えいの可能性がある	氏名	そのまま記載
漏えいの可能性がある	住所	「住所（一部）」と記載
漏えいの可能性がある	電話番号	「電話番号（一部）」と記載

区分	項目	発表の書き方
発表に記載がない	クレジットカード番号、メールアドレス、生年月日、修理品の内容、修理代金	含まれるとも含まれないとも書かれていない

住所と電話番号の「一部」が何を指すのかは、発表では説明されていません。たとえば「市区町村までの住所」なのか、「一部の客だけが住所を記入していた」という意味なのかは、文書からは読み取れません。この記事では推測で補わず、気になる人は後で紹介する窓口に確かめることを勧めます。

項目の組み合わせから考えると、カード番号やパスワードが含まれる事案に比べて、すぐにお金の被害につながる情報ではありません。ただし、氏名と電話番号の組み合わせは、なりすましの電話やSMSの材料になりえます。「時計の修理を頼んだ人」という属性がそろっていること自体が、もっともらしい作り話を組み立てやすくする点には注意が要ります。たとえば「修理品の返却について確認したい」「修理代金の差額を返金したい」といった口実です。この点は、後の節で具体的な例を挙げて説明します。

「漏えいの可能性」と「漏えいした」の違いを知っておく

情報漏えいのニュースでは、「漏えいした」「漏えいのおそれ」「漏えいの可能性」「流出は確認されていない」といった言い方が混在します。今回のドン・キホーテなど4社の発表は、「漏えいの事実は確認されていないものの、その可能性が完全に否定できるものではない」という書き方です。これは、持ち出しを示す証拠は見つかっていないが、無かったとも言い切れない、という段階を指します。

ランサムウェアとは、パソコンやサーバのデータを暗号化して使えない状態にし、元に戻すことと引き換えにお金を要求する不正なプログラムのことです。警察庁は、近年の手口として、暗号化に加えてデータを盗み出し、支払わなければ公開すると脅す「二重恐喝」が多いと説明しています。

データの暗号化のみならず、データを窃取した上、「対価を支払わなければ当該データを公開する」などと対価を要求する二重恐喝が被害の多くを占め、実際に事業者の財務情報や個人情報等が、ダークウェブ上のリークサイトに掲載される事例が多数確認されています。出典: 警察庁（ランサムウェア被害防止対策）

警察庁の説明のとおり、ランサムウェアの被害では「暗号化されただけ」なのか「盗まれてもいる」のかを、事業者がすぐには判断できないことがあります。そのため、事業者は漏えいが確定していなくても、可能性の段階で公表することがあります。

個人情報保護委員会も、事業者が報告しなければならない場面の例として、ランサムウェアで個人データが暗号化され、復元できなくなった場合を挙げています。報告の対象は「漏えい等」と「そのおそれ」の両方で、事業者は確定を待たずに報告することが求められています。今回の4社が個人情報保護委員会に報告し、そのうえで客に知らせたのも、この仕組みに沿った動きです。詳しくは個人情報保護委員会の「漏えい等の対応とお役立ち資料」で確かめられます。

読む側として覚えておきたいのは、「可能性」の段階でも、備えは早めにしたほうがよいという点です。漏えいが確定するのを待ってから注意を始めると、そのあいだに届いた偽の連絡に対応してしまうおそれがあります。一方で、可能性の段階で過度に心配して、パスワードやカードを片端から作り直す必要まではありません。今回の項目は氏名と住所・電話番号の一部なので、備えの中心は「偽の連絡に応じない」ことになります。

自分が対象かどうかを確かめる方法

対象になりうるのは、ドン・キホーテ、長崎屋、橘百貨店、UDリテールのいずれかのグループ店舗で、2025年9月以降に時計の修理を頼んだ人です。まずは、手元の記録から自分が当てはまるかを確かめます。

2025年9月以降に、グループの店舗に時計を持ち込んだことがあるかを思い出す
修理の預かり証、控え、レシートが残っていれば、日付と店舗名を確かめる
家族の名前で修理を頼んだ場合は、その家族にも伝える
どうしても分からないときは、PPIHの個人情報担当窓口にメールで問い合わせる

ドン・キホーテのよくある質問のページでは、店舗で購入した時計の電池交換や修理の依頼を、保証書やレシートを持って購入店舗で受け付けていると案内しています。つまり、修理は店頭の受付から委託先に回る流れです。店舗の受付で氏名や電話番号を書いた記憶があれば、その情報が委託先に渡っていた可能性があります。

発表には、対象の客に個別に連絡するかどうかは書かれていません。「会社から連絡が来ていないから対象外」とは言えないので、思い当たる人は自分から備えておくのが確実です。反対に、この件をきっかけに「対象者への個別のご案内」をうたう電話やメールが届いた場合は、それ自体を疑ってかかる必要があります。公表の文書に、電話やSMSで客に連絡するという記載はないからです。

また、2025年9月より前に修理を頼んだ人は、今回の発表の対象に含まれていません。ただ、委託先の記録がどこまで残っていたかは公表されていないため、それより前の人が全く関係ないと断言することもできません。不安が残る場合は、窓口へのメールで、修理を頼んだ時期を書いて尋ねるのが確実です。

対象かもしれない人が今日からすること

漏えいの可能性がある項目は、氏名、住所（一部）、電話番号（一部）です。この組み合わせで想定しておきたいのは、偽の電話、SMS、郵便物です。パスワードの変更やカードの停止は、今回の項目からは直接は必要になりません。次の4つを、家族も含めて共有しておきます。

ドン・キホーテ、グループ会社、修理業者、PPIHを名乗る電話で、支払いや口座番号、カード番号を求められても答えない
「修理品の返却」「修理代金の返金」「お詫びの品の送付」を口実にしたSMSのリンクを押さない
住所の確認を求める郵便や電話に、その場で番地や部屋番号を答えない
不安なときは、届いた連絡の番号ではなく、公式サイトに載っている窓口から確かめ直す

ドン・キホーテは以前から、自社を名乗る不審な電話について公式サイトで注意を呼びかけています。 2023年7月6日付の文書では、「あなたのカードで買い物をした人がいる」と言って別の団体へ電話させる手口が報告されていると書き、こうした電話をかけることはないと明記しています。今回の件とは別の時期の注意喚起ですが、同社を名乗る偽の電話がすでに現実に使われてきたことを示しています。詳しくはドン・キホーテの「ドン・キホーテをかたる不審な電話にご注意ください」で確かめられます。

電話番号の一部が知られている可能性があるので、知らない番号からの着信が増えたと感じたら、スマートフォンの迷惑電話の判定機能や、通信会社の迷惑電話対策のサービスを確かめておくのも1つの方法です。着信に出てしまっても、相手の名乗る会社名と部署名を聞き取り、いったん切ってから公式の番号でかけ直せば、多くのなりすましは防げます。

お金の請求や、身に覚えのない契約の話が出てきたら、その場で決めずに、消費者ホットラインの188に相談できます。 188は、地域の消費生活センターなどの相談窓口を案内する電話番号です（相談は無料で、通話料はかかります）。詳しくは消費者庁の「消費者ホットライン」で確かめられます。

偽の連絡を見分けるための具体例

今回の項目と「時計の修理を頼んだ」という属性から、想定される偽の連絡の例を挙げます。いずれも実際に届いたと公表されたものではなく、備えのための想定です。

想定される連絡	怪しいと判断できる点	取るべき対応
「修理品の返却に手数料が必要です」というSMS	修理は店頭で受け付ける流れで、SMSで支払いを求める理由が見当たらない	リンクを押さず、修理を頼んだ店舗に直接確かめる
「情報漏えいのお詫びとして返金します。口座を教えてください」という電話	公表の文書に、補償や返金の記載がない	口座番号やカード番号を答えずに切る
「個人情報の確認のため、住所の続きを教えてください」という電話	住所の一部しか知らない相手が、残りを聞き出そうとしている可能性	答えずに切り、窓口へメールで確かめる
「調査のため、こちらのサイトで本人確認を」というメール	窓口はメールの受付で、本人確認のサイトへ誘導する記載がない	URLを開かず、メールを保存したうえで窓口に知らせる

見分けるときの軸は、公表の文書に書かれている範囲と、届いた連絡の内容を突き合わせることです。今回の発表には、補償、返金、お詫びの品、個別の電話連絡のいずれも書かれていません。文書に無いことを持ち出してくる連絡は、まず疑ってかかって差し支えありません。

フィッシングの手口は年々巧妙になっています。ふだんからの見分け方の練習には、会社員向けの訓練の考え方も役立ちます。社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドでは、偽メールの典型的な特徴と、組織で見分ける力を育てる方法を説明しています。

家族や離れて暮らす親が修理を頼んでいた場合

時計の修理は、本人ではなく家族が代わりに店へ持ち込むことがよくあります。受付の用紙に誰の名前と電話番号を書いたかによって、漏えいの可能性がある情報の持ち主が変わります。家族の誰かが2025年9月以降にグループ店舗で修理を頼んでいたら、そのとき誰の名前を書いたかを確かめておきます。

特に気にかけたいのは、離れて暮らす高齢の親です。偽の電話は、本人の名前と電話番号を知っていることを示して信用させようとします。「ドン・キホーテのお客様相談室です。先日お預かりした時計の件で」と名前を呼ばれると、本物だと思い込みやすくなります。親には次の3点を短く伝えておくと、いざというときに迷いません。

店や会社を名乗る電話で、お金や口座、カードの話が出たら、その場で答えずに切る
切ったあとは、家族か、公式サイトに載っている窓口に確かめる
自宅に来て時計や書類を受け取りたいという話には応じない

3つ目は、住所の一部が漏れた可能性を踏まえたものです。今回の発表に訪問の話は一切出てこないので、訪問を持ちかける連絡があれば、それだけで疑う理由になります。

また、今回の件とは別に、自分のメールアドレスがほかのサービスの漏えいに含まれていないかを確かめておくと、全体の備えになります。漏えいを調べる方法では、メールアドレスを入力して過去の漏えいに含まれているかを調べる手順を説明しています。複数のサービスの情報が組み合わされると、偽の連絡はさらにもっともらしくなるため、使い回しているパスワードがあれば、この機会に見直しておくと安心です。

問い合わせ窓口と、メールで問い合わせるときの書き方

この件の問い合わせ先は、PPIHの個人情報担当窓口です。発表に載っているのはメールアドレスだけで、電話番号の記載はありません。

窓口	連絡先	備考
株式会社パン・パシフィック・インターナショナルホールディングス個人情報担当窓口	privacy＠ppih.co.jp	発表に記載の受付方法はメールのみ。受付時間の記載なし

メールアドレスは、発表の文書では「＠」が全角で書かれています。送るときは半角の「@」に直して入力します。

問い合わせのメールには、次の内容を入れると、窓口が事情をつかみやすくなります。

件名に「時計修理の委託先の不正アクセスの件」と書く
修理を頼んだ時期（分かる範囲で年と月）
修理を頼んだ店舗名
知りたいこと（自分が対象か、住所や電話番号の「一部」とは何か、など）
返信を受けたいメールアドレス

カード番号や暗証番号は、メールに書く必要はありません。窓口から返信が来たときも、カード番号やパスワードの入力を求めるリンクが付いていたら、すぐには開かないようにします。

なお、店舗のレジや修理の受付カウンターでも話を聞けるかどうかは、発表には書かれていません。店舗によって答えられる範囲が違うこともあるので、確かな答えを得たいときは、窓口へのメールを使うのが確実です。

2025年10月の伝票処理の委託先の事案とは別のもの

PPIHのグループでは、2025年10月10日にも「業務委託先における不正アクセス被害に関するお知らせとお詫び」という同じ題の文書が出ています。こちらは伝票処理等の業務を委託しているアクリーティブ株式会社のサーバがランサムウェアで暗号化された事案で、今回の時計修理の件とは委託先も対象者も違います。題が同じなので混同しやすいため、表で書き分けます。

比べる点	2026年10月28日の公表（今回）	2025年10月10日の公表（別の事案）
委託先	株式会社コックス（時計などの修理の業務）	アクリーティブ株式会社（伝票処理等の業務）
連名の会社	ドン・キホーテ、長崎屋、橘百貨店、UDリテール	PPIH、ドン・キホーテ、ユニー、UDリテール、長崎屋、橘百貨店ほか
対象	2025年9月以降にグループ店舗で時計の修理を頼んだ客	グループと取引のあった客（氏名や屋号、支払い口座を含む取引の情報）と、支払い処理をした従業員
項目	氏名、住所（一部）、電話番号（一部）	氏名（屋号）、住所、電話番号、支払い口座を含む取引の情報など
検知	2026年9月15日	2025年8月25日
問い合わせ	PPIH 個人情報担当窓口（privacy＠ppih.co.jp）	アクリーティブ個人情報担当窓口（acr_pr＠accretive.jp）

2025年10月の事案は、PPIHの「業務委託先における不正アクセス被害に関するお知らせとお詫び」（2025年10月10日）に書かれています。こちらも「現時点では外部に漏えいした事実は確認されておりません」としたうえで、可能性を否定できないとしています。店で時計の修理を頼んだだけの人は、2025年10月の事案の主な対象（グループの取引先）とは立場が違います。 2つの事案の問い合わせ先も別なので、どちらの件で問い合わせるのかをはっきりさせてから連絡します。

委託先で起きた事案を、どう受け止めればよいか

今回のように、客が直接やり取りしている会社ではなく、その会社が仕事を頼んでいる委託先で被害が起きる例は珍しくありません。修理、配送、伝票処理、メールの配信など、店の裏側の業務は多くが外部の会社に任されています。客の情報も、その業務に必要な範囲で委託先に渡ります。

個人情報保護委員会は、事業者が個人データの取扱いを外部に任せるときは、委託先を監督しなければならないと説明しています。同委員会の資料「委託先管理に関する着眼点」では、適切な委託先を選ぶこと、委託の契約に安全管理の内容を盛り込むこと、委託先での取扱いの状況を定期的に確かめることの3点を挙げています。一般的な業務委託の契約にはセキュリティの項目が入っていないことが多い、という指摘もあります。詳しくは個人情報保護委員会の「委託先管理に関する着眼点」で確かめられます。

今回の4社も、発表の中で「委託先を含め情報管理体制の見直しを図ってまいります」と書いています。見直しの具体的な中身や時期は、2026年10月29日時点の発表には書かれていません。

客の側からできることは、預ける情報を必要なものに絞ることです。修理の受付で書く連絡先は、修理の連絡に使える電話番号1つに絞り、求められていない項目まで書き込まないようにします。受付の用紙に「任意」と書かれた欄は空けておく、という小さな工夫でも、委託先に渡る情報は減ります。店頭の受付で書いた情報が外部の会社に渡ることがある、と知っておくだけでも、備え方は変わります。

在宅で仕事をする人が、仕事でこの件に関わっている場合

在宅で事務や受付代行、ネットショップの運営などを請け負っている人の中には、取引先の買い物や修理の手配を代わりに引き受けている人もいます。たとえば、取引先の社員の時計の修理をグループ店舗に持ち込み、受付の用紙に取引先の担当者の名前や電話番号を書いた、という場合です。この場合、漏えいの可能性があるのは、自分の情報ではなく取引先の担当者の情報かもしれません。

取引先の情報を預かる立場として考えたいのは、取引先に知らせるかどうかです。個人情報保護委員会は、漏えい等の報告が必要になる場面として、不正の目的をもって行われたおそれがある行為による漏えい等（ランサムウェアで暗号化されて復元できない場合を含む）を挙げています。今回、その報告と本人への通知を担うのは、情報を受け取って委託先に渡した4社です。受付の用紙に書いただけの在宅ワーカーが、委員会への報告の当事者になるわけではありません。ただし、取引先から「代わりに手配して」と頼まれて情報を書いたのなら、取引先の担当者には事実を伝えておくのが誠実です。伝えるときは、公表の文書のURLと、対象が「2025年9月以降に時計の修理を頼んだ客」であること、漏えいは確定していないことを添えます。

自分が個人事業として取引先の顧客情報を扱っている場合は、別の論点があります。業務で個人情報を扱う人は、委託元から見れば委託先にあたることがあり、契約で安全管理の内容を求められることもあります。自分の端末やメールアカウントが乗っ取られると、預かった情報が一度に流れ出すおそれがあるため、ログインの守りは仕事の一部と考えておきます。多要素認証（パスワードに加えてスマートフォンの確認コードなど、2つ以上の方法で本人を確かめる仕組み）については、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で種類と選び方を整理しています。小さな事業者向けの対策の全体像は、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法が参考になります。

判断に迷ったときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849、受付は9時30分から17時30分、土日祝日と年末年始を除く）で、ガイドラインやQ&Aに沿った助言を受けられます。個別の事案が違法かどうかの判断には応じていないと同委員会は書いているので、聞けるのは考え方の確認までと考えておきます。

委託先の事案が続く中で、在宅で働く人が身につけておきたいこと

2026年10月は、メール配信の委託先や修理の委託先など、店や会社の裏側を担う事業者で起きた被害の公表が、各社の公式サイトで相次いでいます。自分が直接使っているサービスでなくても、そこに仕事を頼んでいる会社を通じて、情報が影響を受けることがあります。そのたびに慌てないためには、「何が漏れた可能性があるのか」と「何をすればよいのか」を項目ごとに切り分ける習慣が役立ちます。

在宅ワークとフリーランスの仲介を2004年から続けてきた運営者として見てきた限りでは、長く仕事が続く人ほど、取引先の情報の扱いを最初の打ち合わせで確かめています。どの情報をどこに保存してよいか、作業が終わったら何を削除するか、事故が起きたら誰に知らせるかを、契約の前に言葉にしておくのです。こうした確認は手間に見えますが、今回のような委託先の事案が起きたときに、取引先と落ち着いて話し合える土台になります。仲介の手数料を取らない形で直接やり取りする場合も、この取り決めを自分たちで交わしておくことが、双方の安心につながります。

在宅ワークの仲介サイト@SOHOでは、情報の扱いに慣れた人材が求められる案件も掲載しています。セキュリティや個人情報の扱いに関わる仕事の内容はAI・マーケティング・セキュリティのお仕事で、ネットワークの基礎を証明する資格はCCNA（シスコ技術者認定）で確かめられます。

取引先に出す報告やお詫びの文面を書く機会がある人は、正確で誤解の少ない文章を書く力も問われます。ビジネス文書検定は、ビジネス文書の書式や表現を体系的に学べる検定で、取引先への説明文を整える力を確かめる目安になります。

今回のドン・キホーテなど4社の件は、2026年10月29日時点で「漏えいの事実は確認されていないが、可能性は否定できない」段階にあります。 2025年9月以降に時計の修理を頼んだ人は、偽の電話やSMSに応じないことを家族と共有し、気になることは公式の窓口へメールで確かめてください。続報が出たときは、項目や対象が変わっていないかを公式の文書で確かめ直すことが、最も確実な備えです。