ニトリホールディングスは2026年11月9日、同社が管理するシステムが第三者による不正アクセスを受け、サーバー上に保有する個人情報が最大3,762万件、外部に流出した可能性があると発表した。対象はニトリグループの個人会員や商品の購入者、法人会員の情報で、氏名や住所、電話番号、生年月日などが含まれる。クレジットカード情報とログインパスワードは対象に含まれないとしている。
11月6日に検知、10月中旬から下旬にもアクセスの可能性
同社によると、2026年11月6日にシステムへの不正アクセスが判明し、直ちに当該アクセスを遮断したうえで、外部の専門機関と連携して影響範囲の調査を始めた。その後のログ（システムの動作やアクセスの記録）の解析などにより、11月6日より前の10月中旬から下旬にかけても第三者によるアクセスが行われた可能性があることを確認しており、詳しい経緯は引き続き調査中としている。
侵入の経路や原因は明らかにされていない。同社は、脆弱な箇所への対応と監視体制の強化を完了したと説明している。影響範囲と件数については、ログの解析とデータの照合を続けており、今後の調査で変わる可能性があるという。
流出した可能性がある情報
公表された対象情報と対象サービスは次のとおり。情報項目の組み合わせは顧客ごとに異なる。
- 個人会員およびニトリグループでの商品購入者：会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別
- 法人会員：会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号
- 対象サービス：「ニトリネット」と、ECモール（複数の店舗が出店する通販サイト）のニトリ公式ショップを通じた注文データ
同社は対象の顧客にメールまたは郵送で順次連絡するとしている。また、本件について個人情報保護委員会や警察などの関係機関への報告・相談を進めている。
パスワードが対象外でも残るリスク
今回、クレジットカード情報とログインパスワードは対象外とされた。ただし、氏名・住所・電話番号・メールアドレス・生年月日がそろった情報は、本人になりすました詐欺に悪用されるおそれがある。同社も、ニトリや配送事業者、ECモールを装った連絡に注意するよう呼びかけている。購入履歴を思わせる内容の連絡が届いても、記載された連絡先には連絡せず、公式サイトの窓口で確かめることが基本となる。
法人会員の担当者情報が含まれている点も見逃せない。会社名・部署名・担当者名がそろうと、特定の企業や担当者を狙い、取引先を装うメールの文面を作りやすくなる。法人として利用していた企業は、ニトリをかたる連絡に加え、取引を装った不審なメールにも社内で注意を促しておきたい。
また、検知の2〜3週間前からすでに第三者のアクセスがあった可能性がある点は、不正アクセスを早く見つける仕組みの重要性を考えるうえで注目すべき点である。侵入から情報の持ち出しまでに時間がかかる場合、その間に異常に気づければ、流出の規模を抑えられる可能性がある。
同じ手口に、自社は備えられていますか？