ニトリで最大3762万件の情報流出か、法人担当者情報も含む不正アクセスの影響

ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、ニトリホールディングスは2026年11月9日、管理サーバーへの不正アクセスにより最大3,762万件の個人情報が流出した可能性があると公表しました。通販サイト「ニトリネット」や公式ECモール店舗の利用者が対象で、個人だけでなく法人会員の担当者連絡先も含まれます。クレジットカード番号やログインパスワードは対象外とされていますが、漏えい情報を用いた標的型攻撃やフィッシングへの警戒が急務です。

ビジネス＋IT（Yahoo!ニュース）：ニトリで最大3,762万件の個人情報流出か　法人会員の担当者情報も、なりすましに警戒

自社の法人メールアドレスや担当者情報が流出事故に含まれていないか不安な場合は、漏えい状況の調査が有効です。

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響を受けた可能性がある人・情報

（個人・企業）公式通販サイト「ニトリネット」およびECモール内のニトリ公式ショップにおける注文データ
（個人）個人会員および商品購入者の情報（会員番号、氏名、メールアドレス、住所、電話番号、生年月日、性別）
（企業）法人会員の情報（会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号）

今すぐ取るべき対応

（個人・企業）ニトリや配送業者、ECモールを騙る不審なメールやSMSのリンクを開かず、公式窓口に直接確認する
（企業）自社の調達・総務部門などに対し、ニトリを騙った請求書詐欺やなりすまし連絡への注意喚起を実施する
（個人・企業）ニトリホールディングスから届くメールや郵送による個別案内を確認する

この記事に出てくる専門用語

ニトリネット：株式会社ニトリが運営する公式通販サイト。今回の事案では、同サイトおよびECモール内店舗の注文データが不正アクセスの影響を受けました。
フィッシング詐欺：実在の企業やサービスを装った偽メール等で偽サイトに誘導し、情報を盗み取る手口。今回は流出した氏名や連絡先を悪用したなりすましが懸念されています。

不正アクセスが検知されてから遮断に至るまでの経緯

ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、ニトリホールディングスは2026年11月6日に自社システムへの不正アクセスを検知しました。検知後、同社は対象となった通信を直ちに遮断し、外部の専門機関とともにログ解析などの本格的な調査に着手しています。

その後の詳細なログ調査によって、事態は11月の侵入にとどまらないことが判明しました。さかのぼる10月中旬から下旬にかけても、第三者によるアクセスが行われていた痕跡が確認されています。

私たちホワイトハッカーの視点では、最初の侵入から遮断までに数週間のタイムラグがある場合、攻撃者が内部で水平移動やデータの探索を行っていたリスクを想定します。侵入経路や根本的な原因については現在も調査中とされており、今後の詳細発表が待たれます。

最大3762万件の流出データに含まれる項目と除外された情報

ニトリホールディングスの発表によると、外部へ流出した可能性があるデータは最大で3,762万件にのぼります。この件数は今後のログ解析やデータ照合の進捗によって変動する可能性があると説明されています。

流出の対象となったデータ項目は、個人の利用者と法人会員で分かれています。個人顧客では氏名や住所、電話番号、生年月日のほか性別などが含まれ、法人会員では会社情報に加えて担当者の氏名や直通メールアドレス、電話番号が対象です。

一方で、クレジットカード情報およびアカウントのログインパスワードは、流出対象に含まれていないことが確認されています。カードの不正決済や直接的なパスワードリスト攻撃の懸念はひとまず抑えられますが、連絡先情報が悪用される別の脅威に目を向ける必要があります。

流出情報をもとになりすまし攻撃が行われる仕組み

流出データにパスワードが含まれていなくても、正確な氏名、住所、購買履歴の存在は攻撃者にとって格好の材料になります。実在する取引情報や配送状況を装い、自然な文面でフィッシングサイトへ誘導する手口が成立しやすくなるためです。

特に警戒すべきは、法人会員の担当者情報が悪用されるケースです。部署名や担当者名、法人メールアドレスが揃っている場合、取引先やニトリの法人窓口を装った偽の請求書送付や業務連絡メールが送りつけられる危険性があります。

攻撃側は公開情報と漏えい情報を組み合わせて信用性の高いシナリオを構築します。ニトリや配送業者、ECモールからの連絡であっても、添付ファイルや記載されたリンクを無条件に信用しない姿勢が求められます。

ニトリ利用者がフィッシングや詐欺被害を防ぐための確認手順

ニトリホールディングスは脆弱箇所の対処と監視体制の強化を完了したとしており、対象顧客には順次メールや郵送で個別通知を行う方針を示しています。個人情報保護委員会や警察への相談も進められています。

利用者がまず行うべき行動は、ニトリや配送業者を名乗る不審な連絡への警戒です。注文確認や配送状況の確認を行う場合は、メール内のリンクを踏まず、あらかじめブックマークした公式サイトからログインして確認します。

法人組織であれば、購買担当部門に対して今回の事案を共有し、不審な支払先変更や請求書送付の連絡があった際の照会ルートを事前に決めておく手順が有効です。

参考文献・記事一覧

ビジネス＋IT（Yahoo!ニュース）「ニトリで最大3,762万件の個人情報流出か　法人会員の担当者情報も、なりすましに警戒」

組織の情報漏えいや認証情報の流出リスクを把握したい場合は、専門機関によるダークウェブ調査をご検討ください。

投稿者プロフィール

Cyber News: サイバーセキュリティニュースボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。