ニトリに不正アクセス｜個人情報が最大3,762万件流出の可能性

ニトリホールディングスは2026年11月9日、同社が管理するシステムが第三者の不正アクセスを受け、サーバー上の個人情報が最大3,762万件外部に流出した可能性があると公表しました（ニトリホールディングスの2026年11月9日の発表）。 不正アクセスが分かったのは11月6日です。 ニトリグループの個人会員・法人会員、グループで商品を買った人、EC モールのニトリ公式ショップで注文した人に関係します。

公表された内容

• 件数：最大3,762万件。ログの解析とデータの照合を続けており、件数は変わる可能性があるとしています（2026年11月9日の発表）
• 流出した可能性がある情報（人によって組み合わせが違う）
  • 個人会員とグループでの購入者：会員番号・氏名（フリガナ）・メールアドレス・住所・電話番号・生年月日・性別
  • 法人会員：会員番号・会社名・部署名・代表者の氏名・会社の住所と電話番号・担当者の氏名・メールアドレス・電話番号
  • ニトリネットと EC モールのニトリ公式ショップを通じた注文のデータ
• 含まれない情報：クレジットカードの情報とログインのパスワードは含まれていないとしています
• 時期：11月6日の判明後のログ解析で、10月中旬から下旬にも第三者のアクセスがあった可能性を確認し、詳しく調べています
• 原因・侵入の経路：公表されていません。外部の専門機関と原因・侵入経路・影響の範囲・二次被害の有無を調べています
• 業績への影響：連結業績への影響は限られる見込みとしています

経緯

• 2026年10月中旬〜下旬：第三者のアクセスがあった可能性（11月6日以降のログ解析で確認）
• 2026年11月6日：不正アクセスが分かり、アクセスを遮断。外部の専門機関と調査を始める
• 2026年11月9日：最大3,762万件が流出した可能性を公表（自社のサイトと適時開示）

会社の対応

• 攻撃者からのアクセスを遮断し、弱かった箇所への対応と監視の強化を終えたとしています
• 対象の人にはメールか郵送で順に連絡するとしています
• 個人情報保護委員会と警察などへの報告・相談を進めています
• 調査の結果をふまえ、アクセスの制御・認証と権限の管理・監視の体制を見直すとしています
• ニトリや配送の会社、EC モールを装った連絡に気をつけるよう呼びかけ、メールや電話でパスワードやカード番号を聞くことはないとしています

中小企業が今日からできること

• 会員や取引先の情報が入ったサーバーを書き出す：どのサーバー・クラウドに、何件の個人情報と法人の担当者の情報があるかを一覧にし、外から入れる経路（管理画面・API・リモート接続）を確かめる
• ログを90日以上残し、さかのぼって見られるようにする：今回は判明の前にもアクセスがあった可能性が後から分かっています。サーバーとクラウドのアクセスログの保存期間を確かめる
• 大量の読み出しに気づける仕組みを入れる：短い時間に多くの会員情報が読まれたり書き出されたりしたら通知が来るかを確かめる
• 取引先として登録した情報の悪用に備える：法人会員の担当者の情報も対象です。取引先を名乗るメールで支払い先の変更やファイルを開くよう求められたら、登録済みの電話番号で確かめると社内で決めておく