ニトリホールディングスは2026年11月9日、同社が管理するシステムへの不正アクセスで、最大3,762万件の個人情報が外部に流出した可能性があると発表しました。
対象は、ニトリグループの個人会員や商品を買った人の情報、法人会員の情報、それと通販サイト「ニトリネット」やECモールのニトリ公式ショップを通じた注文データです。氏名や住所、生年月日などが含まれます。
一方で、クレジットカード情報とログインパスワードは、流出した可能性のある情報には含まれていない、と発表されています。ここは安心材料です。
この記事では、公式発表の内容をもとに、何が起きたのか、どんな情報が対象なのか、ニトリを使ったことがある人が今やるべきことをまとめます。
何が起きたか
11月6日、ニトリが管理するシステムで、第三者による不正アクセスが確認されました。会社はその日のうちに攻撃者からのアクセスを遮断し、外部の専門機関と一緒に調査を始めました。
その後の調査で、11月6日より前の、10月中旬から下旬にかけても、第三者によるアクセスがあった可能性が分かりました。詳しい経緯は今も調査中です。
流出した可能性のある情報は、最大で3,762万件。今年の情報流出の発表の中でも、とくに大きな件数です。なお、件数と対象範囲は、調査の進み具合で変わる可能性があるとされています。
流出した可能性のある情報
個人会員と、ニトリグループで商品を買った人については、会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別が対象です。
法人会員については、会員番号、会社名、部署名、代表者氏名、会社の住所と電話番号、担当者の氏名、メールアドレス、電話番号が対象になっています。
さらに、ニトリネットと、楽天市場などのECモールに出店するニトリ公式ショップを通じて注文した人の、注文データも対象に含まれます。情報の組み合わせは、人によって異なります。
クレジットカード情報と、Webサイトのログインパスワードは、今回の漏えいの対象には含まれていません。
ですので、ニトリネットのパスワードを今すぐ変えなければいけない、という話ではありません。ただし、住所や電話番号、生年月日といった情報は、それ自体が「なりすまし」に使われやすい組み合わせです。次の注意が大事になります。
これまでの経緯
会社は、脆弱だった箇所への対応と、監視体制の強化は完了したとしています。原因や侵入経路、二次被害があったかどうかは、外部の専門機関と調査を続けています。
個人情報保護委員会と警察への報告と相談も進めています。対象になる人には、メールか郵送で順次連絡が届く予定です。
ニトリを使ったことがある人が、今やること
会社自身が呼びかけている注意は、大きく3つです。
1つ目。ニトリや配送事業者、ECモールを装った、なりすましメールやフィッシング詐欺、不審な電話に気をつけること。漏れた可能性のある情報が、こうした手口に悪用されるおそれがあります。
2つ目。身に覚えのないリンクや添付ファイルは開かないこと。そして大事な点として、ニトリがメールや電話で、パスワードやクレジットカード番号、暗証番号を聞くことは決してありません。聞かれたら、それは偽物です。
3つ目。不審な連絡を受けたら、その連絡に書かれた連絡先には返信せず、公式サイトに載っている窓口へ連絡すること。本件の問い合わせ先は、ニトリホールディングスお客様相談室、電話0120-209-993、受付は平日と土日祝の10時から20時です。
対象かどうかは、会社からのメールか郵送の連絡で分かります。焦って自分から怪しいサイトに情報を入れに行く、ということだけは避けてください。
僕のひとりごと
3762万件という数字を見て、まず思ったのは「ほぼ全員じゃないか」ということでした。ニトリで家具を買ったことがある人、ニトリネットを使ったことがある人、数え切れないくらいいます。僕もその一人です。
最近、この手の発表が本当に続いています。先日のMS＆ADの101万件の時も書きましたが、「漏えいしました」で終わる話ではなく、その後に来る「なりすましの連絡」こそが本番なのだと思います。
今回漏れた可能性があるのは、住所や電話番号、生年月日です。カード番号が入っていないのは幸いですが、この組み合わせは、本人になりすます材料としては十分すぎます。「ニトリを名乗るメールが来たら疑う」。これだけ覚えておけば、だいぶ守れます。
会社からの正式な連絡は、メールか郵送で来ます。それ以外の「今すぐこちらで確認してください」という連絡は、まず偽物だと思ってください。急がせる連絡ほど、本物ではありません。
まとめ
- ニトリが11月9日、不正アクセスによる情報流出の可能性を発表。最大3,762万件
- 11月6日に判明して遮断。その後の調査で、10月中旬から下旬のアクセスの可能性も判明
- 対象は会員番号、氏名、住所、電話番号、生年月日、メールアドレスなどと、通販の注文データ
- クレジットカード情報とログインパスワードは対象外
- 対象の人にはメールか郵送で順次連絡。問い合わせはお客様相談室0120-209-993（10時から20時）
- ニトリや配送業者を装う連絡に注意。パスワードやカード番号を聞かれたら偽物