ニトリに不正アクセス、最大3762万件の個人情報流出の可能性カード番号・パスワードは対象外

株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムへの不正アクセスにより、最大3,762万件の個人情報が外部に流出した可能性があると発表した。対象は店舗・ニトリネットなどを利用した個人会員や商品購入者、法人会員の会員番号・氏名・住所・電話番号などで、クレジットカード番号とログインパスワードは含まれていないという。同社は今後、対象となる顧客にメールまたは郵送で順次連絡するとしている。

10月中旬の侵入から11月9日の発表まで、1カ月近いタイムラグ
流出した可能性がある情報は何か
カード情報・パスワードが対象外でも、油断はできない理由
2026年に相次ぐ個人情報漏えい、3762万件という数字をどう見るか
対象になった可能性がある場合、何をすればいいか
今後はどうなるのか
よくある質問
関連記事
情報源

10月中旬の侵入から11月9日の発表まで、1カ月近いタイムラグ

ニトリHDの発表によると、同社が不正アクセスを確認したのは2026年11月6日。直ちにアクセスを遮断し、外部の専門機関と連携して調査を始めた。ところが、その後のログ解析で、11月6日より前の10月中旬から下旬にかけても第三者によるアクセスがあった可能性が新たに判明したという。つまり、最初の侵入(の疑い)から発表まで、最大でおよそ1カ月のタイムラグがあったことになる。侵入経路や詳しい経緯は「引き続き調査中」で、同社は件数や影響範囲が今後の調査で変わる可能性があるとも明らかにしている。

流出した可能性がある情報は何か

外部からアクセスされた可能性がある情報は、顧客の属性によって異なる。

個人会員・商品購入者:会員番号、氏名(フリガナを含む)、メールアドレス、住所、電話番号、生年月日、性別
法人会員:会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号
対象サービス:ニトリネットおよびECモールのニトリ公式ショップを通じた注文データ

ニトリHDは「情報の組み合わせはお客様ごとに異なる」としており、全員が同じ項目を漏えいしているわけではない。一方で、クレジットカード情報とログインパスワードは、今回の対象には含まれていないと明記されている。

カード情報・パスワードが対象外でも、油断はできない理由

「カード番号もパスワードも無事なら大きな実害はないのでは」と受け止めたくなるが、その理解は半分しか正しくない。氏名・住所・電話番号・メールアドレスだけでも、ニトリや配送業者、ECモールを装った「なりすましメール」や、電話での個人情報の聞き出し(フィッシング)の材料としては十分に使えてしまう。実際にニトリHD自身も、同社や配送事業者、ECモールなどを装った不審な連絡への注意を呼びかけており、「当社からメールや電話でパスワード、クレジットカード番号、暗証番号等をお伺いすることはない」と明言している。不審な連絡を受けた場合は、記載された連絡先に直接返信せず、公式サイトの問い合わせ窓口を通じて確認するよう求めている。

2026年に相次ぐ個人情報漏えい、3762万件という数字をどう見るか

2026年は、国内企業による大規模な不正アクセス・情報漏えいの発表が相次いだ年でもある。Matsu Mediaがこれまでに報じてきた事例と照らし合わせると、ニトリの「最大3,762万件」がどの位置にあるかが見えてくる。

焼肉きんぐ公式アプリ(物語コーポレーション、10月5日発表):約1,078万8,963件
えきねっと・大人の休日倶楽部・ビューカード(JR東日本など、10月9日発表):延べ最大約609万件(複数サービスの合算で、重複を含む可能性あり)
ソースネクスト(10月15日発表):2,251万9,960件(こちらはパスワードも対象に含まれる)
ユミルリンクのメール配信サービス「Cuenote FC」(10月26日時点の第2報):延べ約5,162万8,280件(企業の委託を受けたメール配信先のデータが中心)
クラブツーリズム(10月31日発表):約432万件
無印良品「MUJIアプリ」(良品計画、10月30日発表):最大約2,726万件、さらに11月4日の続報でMUJI Card会員情報約109万件が追加判明
ニトリ(11月9日発表):最大3,762万件

こうして並べると、ニトリの3,762万件はクラブツーリズムやMUJI Cardより規模が大きい一方、ソースネクストの2,251万件余りやユミルリンクの5,162万件余りと比べれば、今年とりわけ突出した数字というわけではない。件数の単純な大小は、その企業の会員規模そのものの大きさにも左右されるため、「件数が多い=管理がずさん」と直結させるのは早計だ。むしろ注目すべきは、ソースネクストのようにパスワードまで対象に含まれるケースと、ニトリのようにパスワード・カード情報が対象外のケースとでは、取るべき対応の緊急度が異なるという点だろう。

対象になった可能性がある場合、何をすればいいか

ニトリHDは、対象となる顧客にはメールまたは郵送で順次連絡するとしており、現時点で利用者自身が一斉に対象かどうかを確認できる専用ページなどは案内されていない。当面、利用者が取れる対応は次の通りだ。

ニトリや配送業者、ECモールをかたるメール・SMS・電話に注意し、本文中のリンクや添付ファイルを安易に開かない
パスワードや暗証番号を電話・メールで尋ねられても応じない(ニトリHDは「当社から聞くことはない」としている)
身に覚えのない連絡を受けた場合は、記載の連絡先に直接返信せず、ニトリの公式な問い合わせ窓口(お客様相談室 0120-209-993、平日・土日祝10:00~20:00)を通じて確認する
他のサービスと同じパスワードを使い回している場合は、この機会に見直しておくと安心材料になる

今後はどうなるのか

ニトリHDは、侵入経路や影響範囲、二次被害の有無について外部専門機関と連携した調査を継続するとしている。件数についても「最大3,762万件」という現時点の調査結果であり、今後のログ解析やデータ照合の結果によって変わる可能性があると明言している。また、個人情報保護委員会や警察など関係機関への報告・相談も進めているといい、新たに公表すべき事項が判明した場合は速やかに知らせるとしている。現時点では、実際に情報が不正利用されたという被害は確認されていない。