ニトリの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年11月9日、ニトリホールディングスは自社のサイトと適時開示で、同社が管理するシステムが第三者の不正アクセスを受け、サーバー上の個人情報が最大3,762万件流出した可能性があると公表しました（ニトリホールディングスの2026年11月9日の発表）。

• 不正アクセスが分かったのは11月6日。その後のログ解析で、10月中旬から下旬にも第三者のアクセスがあった可能性を確認しています
• 対象は、ニトリグループの個人会員とグループでの購入者（会員番号・氏名・メールアドレス・住所・電話番号・生年月日・性別）、法人会員（会社名・部署名・代表者の氏名・担当者の連絡先など）、ニトリネットと EC モールのニトリ公式ショップを通じた注文のデータです
• クレジットカードの情報とログインのパスワードは含まれていないとしています
• 原因と侵入の経路は公表されていません。件数は今後の調査で変わる可能性があるとしています

会社の対応

• アクセスを遮断し、弱かった箇所への対応と監視の強化を終えたとしています
• 外部の専門機関と原因・侵入経路・影響の範囲・二次被害の有無を調べています
• 対象の人にはメールか郵送で順に連絡し、個人情報保護委員会と警察などへの報告・相談を進めています
• 調査の結果をふまえ、アクセスの制御・認証と権限の管理・監視の体制を見直すとしています

この事例から中小企業が学べること

• 個人会員だけでなく、法人の取引先の担当者の情報も漏えいの対象になります。取引先の情報がどこにあるかも書き出しておく
• 判明の前からアクセスが続いていた可能性が後で分かることがあります。ログを十分な期間残す
• 短い時間に大量のデータが読まれたら気づける監視を入れる
• 漏えいのあとは、自社や配送の会社を装った連絡が増えます。顧客に「パスワードやカード番号を聞かない」と前もって伝えておく