ニトリから「最大3762万件」の個人情報が流出か――EC注文データも対象に：不正アクセス被害を公表

ニトリホールディングスは、管理するシステムへの不正アクセスにより最大3762万件の個人情報が流出した可能性があると発表した。個人・法人会員情報やECモール注文データが対象で、決済情報は含まれない。

[＠IT]

　家具およびインテリア用品小売大手のニトリホールディングスは2026年11月9日、同社が管理するシステムへの第三者による不正アクセスを確認し、サーバ上に保有する個人情報が最大3762万件流出した可能性があると発表した。

　不正アクセスは2026年11月6日に判明した。同社は直ちに攻撃者からのアクセスを遮断し、外部専門機関と連携して影響範囲の調査を進めている。なお、流出した可能性がある情報にログインパスワードやクレジットカード情報は含まれていないとしている。

10月中旬から下旬にかけても第三者がアクセスした可能性

　ニトリホールディングスが公表したいきさつによると、同社は2026年11月6日に管理するシステムへの不正アクセスを検知した。検知後直ちに該当するアクセスを遮断し、外部の専門機関と連携して原因や侵入経路、影響範囲の調査を開始したという。

　その後のログ解析などの調査により、不正アクセスが判明した11月6日よりも前の2026年10月中旬から下旬にかけても、第三者による不正アクセスが行われた可能性があることを確認した。同社は現在も詳細ないきさつについて調査を続けている。

　今回、外部からアクセスされ流出した可能性がある個人情報は最大3762万件に上る。ただし影響範囲や件数については引き続きログ解析およびデータ照合を進めており、今後の調査によって変更となる可能性があるとしている。

個人・法人会員情報やECモールの注文データが対象に

　流出した可能性がある情報は、ニトリグループの個人会員情報および商品購入者情報、法人会員情報、ならびに通販サイト「ニトリネット」やEC（電子商取引）モールのニトリ公式ショップを通じた商品の注文データである。情報の組み合わせは顧客ごとに異なるという。対象となる情報の詳細は次の通りだ。

• 個人会員およびニトリグループでの商品購入者：会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別
• 法人会員：会員番号、会社名、部署名、代表者氏名、会社の住所および電話番号、担当者の氏名、メールアドレス、電話番号
• 対象サービス：「ニトリネット」ならびにECモールのニトリ公式ショップを通じた同社商品の注文データ

　前述の通り、クレジットカード情報およびログインパスワードは、今回の漏えい対象には含まれていない。

脆弱箇所への対応と監視強化を完了、二次被害への注意を呼び掛け

　現在の対応状況として、ニトリホールディングスは攻撃者からのアクセス遮断を継続するとともに、脆弱（ぜいじゃく）箇所への対応を実施し、監視体制の強化を完了したと説明している。並行して外部専門機関と連携し、原因や侵入経路、影響範囲、二次被害の有無についての調査を継続している。

　対象となる顧客には、電子メールまたは郵送で順次連絡する予定だ。

　同社は顧客に、漏えいした可能性がある個人情報がなりすましメールやフィッシング詐欺、不審な電話などに悪用される恐れがあるとして注意を呼びかけている。同社や配送事業者、ECモールなどを装った連絡に警戒し、身に覚えのないリンクや添付ファイルを開かないよう求めている。また、同社からメールや電話でパスワードやクレジットカード番号、暗証番号などを尋ねることはないとし、不審な連絡を受けた場合は記載された連絡先には返信せず、公式サイトに掲載する問い合わせ窓口へ連絡するよう案内している。