要点
- ニトリホールディングスは、不正アクセスで最大3,762万件の個人情報が外部に漏れた可能性があると公表した。
- 氏名・住所・電話番号・メールアドレス・生年月日などが対象で、ニトリをかたる偽メールや偽電話に使われるおそれがある。
- ニトリの発表では、ログイン用のパスワードとクレジットカード情報は対象に含まれない。
何が起きたか
ニトリホールディングスは2026年11月9日、自社が管理するシステムへの不正アクセスで、個人情報が外部に漏れた可能性があると公表した。件数は最大3,762万件。漏れたと確定したわけではなく、「可能性」の段階だ。
ニトリの発表によると、不正アクセスが分かったのは11月6日。同社はすぐにそのアクセスを遮断した。その後の調査で、10月中旬から下旬にも第三者がアクセスしていた可能性が見つかった。侵入の経路や影響の範囲は調査中で、件数も調査の結果で変わりうるとされる。BleepingComputer も、ニトリが個人情報保護委員会と警察に届け出たと伝えている。
漏れた可能性がある項目は、対象者の種類で分かれる。
- 個人会員・商品の購入者: 会員番号、氏名（フリガナ含む）、メールアドレス、住所、電話番号、生年月日、性別
- 法人会員: 会員番号、会社名、部署名、代表者の氏名、会社の住所と電話番号、担当者の氏名・メールアドレス・電話番号
- 対象は、ニトリネットと、各ECモール上のニトリ公式ショップで注文した人
ログインパスワードとクレジットカード情報は、含まれないとされている。
日本の利用者への影響
影響は日本の利用者に直接及ぶ。ニトリは日本国内に多くの店舗を持つ大手で、対象はネット注文をした多くの人だ。数字は記録の件数で、同じ人の重複もありうるため、実際の人数は分からない。
ニトリは、対象となる人へ、メールか郵送で順次連絡するとしている。
名前・住所・電話・生年月日がそろうと、本物らしい偽の連絡が作りやすくなる。「注文した商品の件」「配送の確認」「会員情報の更新」といった文面で、偽サイトに誘導される手口に注意が要る。ニトリは、メールや電話でパスワードやカード番号、暗証番号を聞くことはないと説明している。
今すぐやること
- 自分がニトリネットや、ECモール上のニトリ公式ショップで注文したことがあるか思い出す。心当たりがあれば、対象かもしれないと考える。
- ニトリからの連絡（メールか郵送）を待つ。確かめられるのは、ニトリの公式サイトに載る発表と、届いた連絡だけだ。
- ニトリを名乗るメール・SMS・電話は、中のリンクを開かない。確認が要るときは、自分でブックマークした公式サイトか公式アプリから入る。
- パスワード・カード番号・暗証番号を聞かれたら、相手がだれでも答えない。ニトリはこれらを聞かないと説明している。
- 他のサービスで同じメールアドレスを使っている人は、不審な連絡が増えないか気をつける。今回パスワードは対象外とされるが、念のためパスワードの使い回しを見直しておくとよい。
問い合わせ窓口の電話番号やフォームは、確かめられた範囲では見つからなかった。必ずニトリの公式発表から確認してほしい。
背景
ニトリは2022年にも、公式アプリへの不正ログインで約13万件の情報漏えいの可能性を公表している。このときは、他のサービスから流出した ID とパスワードを試すやり方とみられた。今回は侵入経路が公表されていないが、会員が多い会社ほど狙われやすいことは変わらない。
大量の個人情報は、盗まれた後に長く使われる。氏名と住所と生年月日は、パスワードと違って変えられない。そのため、漏えいの後に出回る偽の連絡に長く備える必要がある。
技術者向けの詳細
- 不正アクセスの確認: 2026年11月6日。遮断も同日。
- 不正アクセスの疑い期間: 10月中旬から下旬を含む（ニトリの調査）。
- 件数: 最大3,762万件（調査で変動しうる）。
- 侵入経路・手口: 公表されていない。BleepingComputer によると、ニトリは攻撃者のアクセスをすぐ遮断し、システムの脆弱性に対処し、脅威の監視を強化したとしている。
- 届出: 個人情報保護委員会と警察（BleepingComputer による）。
- 自社の環境でできること: 社員のメールで、ニトリを名乗る不審な連絡の報告を集める。法人会員の担当者は、取引先の担当者あての偽メールにも備える。
- ニトリの発表 PDF は、取得が間に合わず、本文は BleepingComputer・INTERNET Watch が伝える内容に基づく。
