ニトリホールディングスへの不正アクセス（最大3,762万件の個人情報流出のおそれ）
公表日
ニトリホールディングスが管理するシステムが第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、サーバー上に保管されていた会員情報や注文データなど、最大約3,762万件の個人情報が流出した可能性があると公表されました。
対象者は？
ニトリグループの個人会員、商品購入者、法人会員、および「ニトリネット」やECモールのニトリ公式ショップで注文された顧客（氏名、住所、電話番号、メールアドレス、注文情報などが対象。クレジットカード情報やログインパスワードは含まれていません）。
対象となる顧客に対して、ニトリホールディングスからメールまたは郵送で順次連絡が行われます。
いますぐできること
- ニトリや関連企業を装った不審なメール、SMS、電話に注意し、記載されたURLを不用意に開かないようにしてください。
- 心当たりのない配送連絡や個人情報を聞き出そうとする連絡があった場合は、公式窓口へ直接確認してください。
何が起きたのか
2026年11月6日にニトリホールディングスの管理システムで第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されました。同社は直ちに通信を遮断して調査を開始し、ログ解析により10月中旬から下旬にかけてもアクセスがあった可能性を把握しました。11月9日に、最大3,762万件の個人情報が流出した可能性がある旨を公表しました。
なぜ起きたのか・なぜ広がったのか
原因や侵入経路の具体的な仕組みについては調査中とされており、まだ公表されていません。サーバー上の脆弱な箇所が狙われたとみられ、外部専門機関とともに原因究明が進められています。
いまの状況2026-11-09 時点続報待ち
攻撃者からの通信遮断は継続されており、脆弱箇所の修正対応と監視体制の強化が完了しています。個人情報保護委員会や警察への報告・相談が行われており、対象となる顧客への個別連絡が進められています。
企業として考えたいこと
自社が保有する膨大な顧客データのうち、決済情報やパスワード以外の基本属性情報について、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。時に一括で持ち出されないような分離管理や監視の仕組みができていますか。
技術的な要約
株式会社ニトリホールディングスは2026年11月9日、自社が管理するシステムが第三者による不正アクセスを受け、サーバー上に保有する個人情報が外部に最大3,762万件流出した可能性があると公表した。同社は2026年11月6日に不正アクセスを確認し、直ちにアクセスを遮断するとともに外部専門機関と連携して調査を開始した。事後のログ解析により、2026年10月中旬から下旬にかけても第三者によるアクセスが行われた可能性が確認されている。流出の可能性がある情報には個人会員・法人会員の情報や注文データが含まれるが、クレジットカード情報およびログインパスワードは流出対象に含まれていない。同社は脆弱箇所への対応と監視体制の強化を完了し、個人情報保護委員会や警察への報告・相談を進めるとともに対象顧客への連絡を行っている。
攻撃の分類
- 侵入口
- 不明原因や侵入経路は公表されておらず、外部専門機関とともに原因究明および影響範囲の特定が進められている。
- 脆弱性
- CVE 非公表不明具体的な製品名や脆弱性識別子は非公表。同社は脆弱箇所への対応を実施したと発表している。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する発表はなく、本件による連結業績への影響は限られる見込みとしている。
- データ
- おそれ上限 37,620,000確定 —件会員ID氏名メール住所電話生年月日性別取引先情報業務データ個人会員および商品購入者の情報（会員番号、氏名・フリガナ、メールアドレス、住所、電話番号、生年月日、性別）、法人会員情報（会員番号、会社名、部署名、代表者氏名、会社住所・電話番号、担当者氏名・メールアドレス・電話番号）、およびニトリネットやECモールのニトリ公式ショップを通じた注文データ。クレジットカード情報およびログインパスワードは含まれない。
- 波及先
- —
- 金銭影響
- 本件による連結業績への影響は限られる見込みとしている。
- サプライチェーン
- —
時系列
- 2026-10
- 2026-11-06
- 2026-11-06
- 2026-11-06
- 2026-11-09
- 2026-11-09
- 2026-11-09
- 2026-11-09
技術解説
事案の検知とタイムラインの推移 事実
ニトリホールディングスは2026年11月6日に自社で管理するシステムに対する第三者からの不正アクセスを確認し、直ちに当該アクセスを遮断した。外部専門機関と連携して実施したログ解析などの調査において、同日以前の2026年10月中旬から下旬にかけても第三者によるアクセスが行われていた可能性が確認されている。同社は2026年11月9日に「当社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」を公表し、サーバー上に保管されていた個人情報が最大3,762万件外部に流出した可能性があることを発表した。また、公表時点ですでに攻撃者からのアクセス遮断の継続、脆弱箇所への対応、および監視体制の強化が完了していることが報告されている。
潜在的な流出規模と対象データの性質 解釈
本件で流出した可能性があるとされる対象は最大3,762万件に及び、国内の小売・EC領域におけるインシデントとしても非常に大規模な水準である。対象データには、個人会員およびグループ商品購入者の会員番号、氏名（フリガナ）、メールアドレス、住所、電話番号、生年月日、性別のほか、法人会員情報やECを通じた注文データが含まれている。一方で、クレジットカード情報およびログインパスワードは流出対象に含まれていないことが確認されている。クレジットカード情報や認証情報そのものの直接流出は免れたものの、氏名や住所、連絡先といった基本情報および購買に関するデータが広範囲に含まれており、対象顧客へのなりすまし連絡などのリスクに対する継続的な警戒が求められる。
初動対応と公表における迅速性および今後の課題 解釈
同社は11月6日の不正アクセス検知から3日後となる11月9日に第1報を公表した。検知直後に通信遮断を行い、外部専門機関と連携したログ解析により過去の不審なアクセスの可能性を把握したうえで、対象件数の上限や流出データの項目、さらにパスワードやクレジットカード情報が含まれていない事実を整理して公表している。迅速な情報開示が行われた一方、具体的な侵入経路や悪用された脆弱性の詳細については公表時点で調査中とされており、具体的な技術的要因は明らかにされていない。今後の外部専門機関によるフォレンジック調査の進展に伴い、侵入手口の特定や確定した流出件数の精査、恒久的な再発防止策の提示が注視される。
対応
- 封じ込め
- 不正アクセスの判明直後に当該アクセスを遮断し、攻撃者からの遮断を継続している。また、脆弱箇所への対応を実施し、監視体制の強化を完了した。
- 公表の仕方
- 2026年11月9日に公式ウェブサイト上で「当社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」を公表。対象となる顧客にはメールまたは郵送で順次連絡を行うとしている。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 過去に遡ったアクセスログの保管と迅速なフォレンジック調査体制の確保 | 異常検知時に速やかに過去数か月分の履歴を追跡できるよう、SIEMやアクセスログの長期保管体制を整備し、外部専門機関と連携した初動トリアージ手順を平時から定めておく。 |
| 顧客情報の機微度に応じた分離保管とアクセス制御の徹底 | クレジットカード情報やパスワードなど高機微な認証データと、属性情報・注文履歴などの通常業務データをネットワークおよびデータベースレベルで分離し、最小権限の原則に基づき隔離管理する。 |
| システム脆弱性の継続的な把握と迅速な修正プログラム適用 | 公開サーバーや外部接続点における資産管理台帳を最新化し、定期的な脆弱性診断の実施と重要脆弱性が発見された際の緊急パッチ適用手順を運用プロセスに組み込む。 |
| 大規模な個人情報流出を想定した顧客通知および問い合わせ対応準備 | 千万件規模の漏えい懸念が発生した場合に備え、メールや郵送による一斉通知フローや特設窓口の開設手順、フィッシング詐欺への注意喚起テンプレートを策定しておく。 |
自組織などでの確認項目
- 自社の公開サーバーや管理システムにおいて、侵害の兆候を検知した際に過去数週間から数か月前のログを網羅的に追跡・解析できる体制が整っているか。
- 顧客の氏名・住所・注文情報などの属性データと、パスワードや決済情報などの重要情報が適切に分離され、単一の侵害で全データが奪われない設計になっているか。
- 自社を装ったフィッシングや詐欺連絡が顧客に行われるリスクに対し、公式チャネルでの注意喚起や個別通知を迅速に行える運用手順が定義されているか。
未解明点
- 第三者がシステムへ侵入した具体的な侵入経路および悪用された脆弱性の詳細（製品名やCVE等）は何か。
- 最大3,762万件とされる対象のうち、実際に外部へ流出したことが確認された確定件数は何件か。
出典
- 1and secure2026-11-09報道本文確認済
- 2ライブドアニュース2026-11-09報道本文確認済
- 3流通スーパーニュース2026-11-09報道本文確認済
- 4NHKニュース2026-11-09報道本文確認済
- 5WWDJAPAN.com2026-11-09報道本文確認済
- 6テレビ朝日系（ANN）2026-11-09報道本文確認済
- 7共同通信2026-11-09報道本文確認済
- 8TBS NEWS DIG Powered by JNN2026-11-09報道本文確認済
- 9京都新聞2026-11-09報道本文確認済
- 10新潟日報社2026-11-09報道本文確認済
- 11株式会社ニトリホールディングス2026-11-09公式本文確認済
- 12株式会社ニトリホールディングス2026-11-09公式本文確認済
- 13四国新聞社2026-11-09報道本文確認済
- 14下野新聞社報道本文確認済