ニトリHDに不正アクセス、会員情報など最大3,762万件流出の可能性

ニトリホールディングスは2026年11月9日、同社が管理するシステムに第三者の不正アクセスがあり、サーバー上の個人情報が最大3,762万件流出した可能性があると公表しました。対象には個人会員と商品の購入者のほか、法人会員の会社名や担当者の連絡先、ECモールの公式ショップの注文情報も入っています。ニトリで買い物をした人や、会社として法人会員に登録している企業は、ニトリや配送業者を名乗る連絡に気をつけてください。

判明から公表までの流れ

同社が不正アクセスに気づいたのは11月6日（金）です。すぐにそのアクセスを遮断し、外部の専門機関と原因、侵入経路、影響の範囲を調べ始めました。

判明後にログを解析したところ、10月中旬から下旬にも第三者がアクセスしていた可能性が見つかりました。詳しい経緯は調査が続いています。件数と影響の範囲もログの解析とデータの照合を続けていて、今後の調査で変わる可能性があるとしています。

侵入の経路や手口は、公表の時点のお知らせには書かれていません。

流出した可能性がある情報

件数は最大3,762万件です。情報の組み合わせは人によって違います。

• 個人会員とニトリグループでの商品の購入者：会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別
• 法人会員：会員番号、会社名、部署名、代表者氏名、会社の住所と電話番号、担当者の氏名、メールアドレス、電話番号
• ニトリネットと、ECモールのニトリ公式ショップを通じた注文のデータ

クレジットカード情報とログインパスワードは対象に含まれていないとしています。

ニトリの対応

攻撃者からのアクセスの遮断を続けていて、脆弱な箇所への対応と監視の強化は終えたとしています。原因と侵入経路、影響の範囲、二次被害の有無は、外部の専門機関と調べています。

対象者にはメールか郵送で順に連絡し、個人情報保護委員会と警察などへの報告・相談も進めています。再発防止策では、アクセス制御、認証と権限の管理、監視の体制を見直すとしています。問い合わせはお客様相談室が電話とフォームで受けています。

利用者と法人会員がすること

同社は、漏れた可能性のある情報が、なりすましメールやフィッシング詐欺、不審な電話に使われるおそれがあるとしています。ニトリや配送事業者、ECモールなどを装った連絡に注意し、心当たりのないリンクや添付ファイルを開かないよう求めています。同社がメールや電話でパスワードやカード番号、暗証番号を聞くことはありません。不審な連絡が来たら、そこに書かれた連絡先には返信せず、公式サイトに載っている窓口に問い合わせます。

法人会員は、担当者の氏名と連絡先が会社名、部署名と一緒に対象になっています。注文の内容や会社名を知っている相手からの連絡は本物らしく見えるので、支払いや振込先の変更を求める連絡が来たときは前から知っている電話番号にかけ直して確かめる決まりを社内で作っておきます。漏えい情報を使う偽メールについては、金融庁、漏えい情報を使う偽メールの増加に注意 利用者に4つの要請も参考になります。

中小企業が学べること

今回は11月6日に気づいたあとのログの解析で、10月中旬からのアクセスの可能性が分かりました。侵入は気づいた日より前に始まっていることがあります。自社のECサイトや会員システムでも、アクセスのログを何日分残しているかを確かめておきます。保存期間が短いと、あとから侵入の始まりや持ち出された範囲を調べられません。

会員のデータを1か所にまとめて持つほど、一度の侵入で漏れる量は大きくなります。個人会員と法人会員、注文の情報のように、使う業務ごとに置き場所と見られる人を分けておくと、被害の範囲を狭められます。