家具・インテリア大手のニトリホールディングス（HD）は11月9日、同社が管理するシステムが第三者の不正アクセスを受け、サーバー上に保有する個人情報が最大3762万件、外部に流出した可能性があると発表した。個人会員や商品の購入者の氏名、住所、電話番号、生年月日などが含まれる。ログインパスワードとクレジットカード情報は、流出した可能性のある情報に含まれていないという。同社は東京証券取引所の適時開示で、同日午後5時20分にこの内容を公表した。

対象は個人会員と法人会員、通販の注文データ

発表によると、外部からアクセスされた可能性がある情報は3つに分かれる。

1つ目は、個人会員とニトリグループで商品を買った人の情報で、会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別が対象になる。2つ目は法人会員の情報で、会員番号、会社名、部署名、代表者の氏名、会社の住所と電話番号、担当者の氏名、メールアドレス、電話番号が挙がっている。3つ目は、同社の通販サイト「ニトリネット」と、ECモールに出しているニトリ公式ショップを通じて受けた注文のデータだ。

件数は最大3762万件で、どの情報の組み合わせが対象になるかは客ごとに異なる。同社は、件数と範囲をログの解析とデータの照合で調べている途中で、今後の調査で変わる可能性があるとしている。発表の資料には、件数のうち個人会員、法人会員、注文データがそれぞれ何件かという内訳は示されていない。

一方、クレジットカード情報とログインパスワードは「今回の漏えいの対象には含まれておりません」と明記した。

11月6日に判明、10月中旬から侵入の可能性

同社が不正アクセスを確認したのは11月6日（金）だ。直ちにそのアクセスを遮断し、外部の専門機関と組んで原因、侵入経路、影響の範囲を調べ始めた。

判明の後にログを解析したところ、それより前の10月中旬から下旬にも、第三者によるアクセスがあった可能性があることが分かった。詳しい経緯は調査が続いている。判明から公表までは3日だった。

同社は、攻撃者からのアクセスの遮断を続けており、弱い箇所への対策と監視体制の強化は済ませたとしている。原因、侵入経路、二次被害の有無の調査は外部の専門機関と続ける。調査の結果を踏まえ、アクセスの制御、認証と権限の管理、監視の体制を見直して再発防止策をとる方針だ。

業績への影響は精査中としつつ、連結業績への影響は「限定的」と見込んでいる。

偽の連絡に注意、対象者にはメールか郵送で連絡

同社は、流出した可能性のある情報が、なりすましメールやフィッシング詐欺、不審な電話に悪用される恐れがあると注意を呼びかけた。同社や配送事業者、ECモールを装った連絡に気をつけ、心当たりのないリンクや添付ファイルを開かないよう求めている。

同社がメールや電話でパスワード、クレジットカード番号、暗証番号を尋ねることはないという。不審な連絡を受けた場合は、書かれた連絡先には返信せず、同社の公式サイトにある問い合わせ窓口へ連絡するよう求めた。

対象となる客には、メールか郵送で順に連絡する。問い合わせはニトリHDのお客様相談室（電話0120-209-993、受付は土日祝日を含む毎日午前10時〜午後8時）で受け付ける。

報告先は個人情報保護委員会と警察

同社は、個人情報保護委員会と警察などの関係機関への報告・相談を進めているとした。

個人情報保護法第26条は、個人データの漏えいのうち、個人の権利利益を害する恐れが大きいものについて、事業者に同委員会への報告と本人への通知を義務づけている。同委員会の規則第7条は、不正の目的で行われた恐れのある行為による漏えいや、本人の数が1000人を超える漏えいを、報告の対象に挙げる。事業者は事態を知った後、速やかに報告し、不正の目的による恐れがある事態は知った日から60日以内に、原因や再発防止策を含めて改めて報告しなければならない（規則第8条）。

企業への不正アクセスによる流出の発表は、この秋に続いている。MUJI Card番号の全桁、約109万件もアクセスされた可能性　良品計画が第二報では、MUJIアプリなどの約2726万件が対象とされた。各社の発表を並べると次のようになる。単位と確定の度合いは各社の公表のとおりで、横並びで比べられる数字ではない。

公表日 企業 公表された規模
10月30日 松屋フーズホールディングス 237万7127件（松弁ネット・モバイルオーダーなどの利用者）
10月31日 クラブツーリズム 約432万件（流出の可能性）
11月4日 良品計画（第二報） 約2726万件（アクセスされた可能性）
11月5日 SMBCコンシューマーファイナンス 最大32万118名
11月6日 ロート製薬 279万7545人
11月9日 ニトリHD 最大3762万件（流出の可能性）
各社が公表した不正アクセスによる個人情報流出の規模出典: 各社の公表資料

警察庁は11月6日、2026年1月1日以降に被害が確認された、企業などを狙う大規模な個人情報の流出事案について、長官の指示を出したと発表した。関東管区警察局と各都道府県警察が合同で捜査し、同局のサイバー特別捜査部に合同捜査本部を置く。資料に個別の企業名は無く、ニトリHDの件が対象に入るかどうかは書かれていない。

古い会員情報は残っていたのか

個人情報保護法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう、事業者に努力を求めている。古川俊治デジタル相は11月6日の記者会見で、この努力義務に触れ、個人情報保護委員会が10月7日に、保管している個人データの必要性や保存期間を確認するよう事業者に注意を呼びかけたと説明した。制度の見直しは、必要があると認められた場合に検討するとしている。この点は大規模漏えい相次ぎ、国と専門機関が3日で注意喚起　委託先の点検や不要データの消去を要求でも伝えた。

今回の3762万件は、ニトリHDが「サーバー上に保有する個人情報」の件数だ。その中に、長く利用していない会員や退会した人の情報がどれだけあるのかは、発表の資料に書かれていない。件数の内訳とともに、どの期間の情報が対象かが示されれば、客は自分が対象に入るかを判断しやすくなる。

同社は、新たに公表すべき事項が分かれば速やかに知らせるとしている。侵入の経路、10月中旬から下旬のアクセスで何が持ち出されたのか、二次被害の有無を、続報でどこまで示すかが問われる。