【最大3,762万件】ニトリに不正アクセス、会員の氏名・住所・電話番号など流出の可能性｜パスワードとカード情報は対象外

ニトリホールディングスは2026年11月9日、同社が管理するシステムが第三者による不正アクセスを受け、サーバー上に保有する個人情報最大3,762万件が外部に流出した可能性があると公表しました。ニトリグループの個人会員や商品の購入者の氏名、住所、電話番号、メールアドレス、生年月日などが対象です。

ログインパスワードとクレジットカード情報は、流出した可能性のある情報に含まれていません。不正アクセスは11月6日に判明しましたが、10月中旬〜下旬にもアクセスがあった可能性があるとしています。

流出の可能性があるのは最大3,762万件
11月6日に判明、10月中旬からアクセスの可能性
対象者にはメールか郵送で連絡
利用者がとるべき対応
問い合わせ先
まとめ

流出の可能性があるのは最大3,762万件

対象	流出した可能性がある情報
個人会員、ニトリグループでの商品購入者	会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別
法人会員	会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号
対象サービス	ニトリネットと、ECモールのニトリ公式ショップを通じた同社商品の注文データ

件数は最大3,762万件で、情報の組み合わせはお客様ごとに異なります。影響範囲と件数は、ログ解析とデータ照合を続けており、今後の調査で変わる可能性があるとしています。

11月6日に判明、10月中旬からアクセスの可能性

日時	ニトリが確認した事象
2026年10月中旬〜下旬	11月6日の判明後のログ解析などで、それ以前にも第三者によるアクセスが行われた可能性を確認。詳細は調査中
11月6日（金）	不正アクセスが判明。すぐにアクセスを遮断し、外部専門機関と連携して原因、侵入経路、影響範囲の調査を開始
11月9日	公表

ニトリは攻撃者からのアクセスの遮断を続け、脆弱な箇所への対応と監視体制の強化を終えています。原因、侵入経路、影響範囲、二次被害の有無は、外部専門機関と連携して調べています。個人情報保護委員会と警察などの関係機関への報告・相談も進めています。調査結果を踏まえて、アクセス制御、認証・権限管理、監視体制などを見直すとしています。

対象者にはメールか郵送で連絡

対象のお客様には、メールか郵送で順次連絡するとしています。

利用者がとるべき対応

ニトリは、流出した可能性がある個人情報が、なりすましメール、フィッシング詐欺、不審な電話などに悪用されるおそれがあるとして、次の点に注意するよう求めています。

ニトリ、配送事業者、ECモールなどを装った連絡に注意し、身に覚えのないリンクや添付ファイルを開かない
ニトリがメールや電話で、パスワード、クレジットカード番号、暗証番号などを尋ねることはない
不審な連絡を受けたら、記載された連絡先には返信せず、ニトリの公式サイトに載っている問い合わせ窓口に連絡する

ここからは公式発表には書かれていない、筆者の見解です。今回は注文データも対象のため、実際に買った商品や配送先を示して「配送日の再調整」「商品の返金手続き」などをうたう連絡は、本物と見分けにくくなります。ニトリ公式ショップがあるECモールで買い物をした人も、注文の状態はリンクからではなく、ニトリネットのアプリや各モールの購入履歴で確かめることをおすすめします。ログインパスワードは対象外ですが、メールアドレスと生年月日などがそろっているため、ほかのサービスでパスワードの再設定を求めるメールにも注意が必要です。