唐吉訶德、長崎屋等日本四家公司公告：修理委託商コックス伺服器遭勒索軟體加密，2025 年 9 月以後在這些日本門市送修手錶的顧客，姓名與部分地址、電話可能外洩

趨勢新聞2026 年 10 月 29 日

去日本逛唐吉訶德、順手把手錶留在店裡修的人，要看一下這則。日本唐吉訶德（ドン・キホーテ）與同集團的長崎屋、橘百貨、UD Retail 四家公司 10 月 28 日公告：替它們處理修理業務的外包廠商コックス（株式会社コックス，東京都台東區；公告未列英文名稱），伺服器被勒索軟體加密，2025 年 9 月以後在這些公司門市送修手錶的顧客，姓名、部分地址、部分電話可能外洩。公告說目前沒有確認外洩，也還沒發現有人拿這些資料做壞事。コックス 9 月 15 日偵測到異常，到公告相隔 43 天，約六週。台灣讀者先確認一件事：公告署名的是四家日本公司，台灣 DON DON DONKI 的營運公司不在其中，公告也沒有提到海外門市。

發生了什麼事

勒索軟體是一種惡意程式，闖進電腦後把檔案加密成打不開的亂碼，再向受害者要贖金。這次被鎖的不是唐吉訶德自己的系統，是它委託處理修理業務的コックス。可以想成賣場把修理交給外面的業者處理，出事的是業者那一端。依公告，コックス因承接修理業務收到顧客資料，這些資料跟著伺服器一起被加密。

公告的時間線是這樣：2026 年 9 月 15 日，コックス偵測到伺服器可能遭到攻擊，員工檢查後確認伺服器已被加密、無法讀取，切斷受攻擊伺服器的對外連線；9 月 25 日，コックス通知唐吉訶德等公司；10 月 28 日對外公告。從コックス偵測到異常到公告相隔 43 天，從四家公司接到通知到公告相隔 33 天。公告也說，依日本《個人資料保護法》向個人情報保護委員會（日本的個資主管機關）報告了。

公告寫的對象是「弊社グループ店舗にて 2025 年 9 月以降に時計の修理をご依頼いただいたお客様」，本站譯：「2025 年 9 月以後在本集團門市委託修理手錶的顧客」。可能外洩的項目只有三項：姓名、住址（部分）、電話號碼（部分）。公告沒有寫受影響的人數，也沒有提到信用卡或付款資料。原文把住址與電話標為「一部」（部分），沒有說明指的是欄位內容的一部分，還是部分顧客、部分紀錄，具體範圍無法確認。

到底有沒有外洩：已知、不知道的分開看

已知的部分：公告寫，委託商請專業機構調查，「現時点で個人情報の漏えいの事実は確認されていない」，本站譯：「目前尚未確認有個人資料外洩的事實」；到公告當天，也沒發現資料遭到不當使用或其他二次受害。

不知道的部分：公告說被加密的伺服器「還沒有復原」，所以沒辦法完全排除外洩，這是它要公告的原因。資料有沒有在加密前被複製帶走，公告沒有答案，本站也不推測。NHK 也在 10 月 28 日報導，本站讀到的版本只有標題、發布時間與摘要，摘要的說法與公告一致。

台灣讀者要做什麼

公告目前列出的對象，是 2025 年 9 月以後在這四家日本公司門市委託修理手錶的顧客；在店裡買東西、辦免稅、刷卡結帳，都沒有列在公告裡。

2025 年 9 月以後在日本唐吉訶德、長崎屋等門市送修過手錶的人，本站的讀法是：留意自稱唐吉訶德、修錶業者或日本業者的來電、簡訊與郵件，對方要你點連結、付款或補資料時，先停下來；想確認自己是否在範圍內，公告留的窗口是唐吉訶德母公司 PPIH（泛太平洋國際控股）的個資專用信箱 privacy@ppih.co.jp。公告沒有說會個別通知受影響的顧客。

台灣門市呢？依台灣 DON DON DONKI 官網，營運公司是台灣泛亞零售管理顧問股份有限公司，不在這份公告的四家署名公司裡。僅憑這份公告，無法判斷台灣門市有沒有修錶服務、是否也委託コックス，因此本站不寫台灣門市受影響，也不寫不受影響。

對台灣企業的意義

這次資料由委外廠商保管，出事的是廠商，出面公告的是品牌。台灣有對應的規定：《個人資料保護法》施行細則第 8 條要求，委託他人處理個資時，委託者要對受託者做適當監督。目前適用的個資法第 12 條規定，因違反個資法致個資被竊取、洩漏、竄改或其他侵害時，要查明後以適當方式通知當事人；2025 年 11 月 11 日公布的修正條文改成「知悉」所保有的個資被竊取、竄改、毀損、滅失或洩漏時就要通知當事人，符合一定通報範圍還要向主管機關通報，但施行日期由行政院另定，全國法規資料庫標示尚未生效。本站的讀法：把客戶資料交給維修、物流、行銷廠商的台灣公司，可以趁這次確認兩件事，一是合約有沒有約定廠商出事後幾天內要通知你，二是廠商手上留的資料是不是只有必要的欄位。