要点
発表された事実
- ニトリホールディングスは2026年11月9日、同社が管理するシステムで第三者による不正アクセスを確認し、サーバー上に保有する個人情報が最大3,762万件外部に流出した可能性があると発表した（ニトリHD）。
- 11月6日に不正アクセスが判明して遮断した。その後のログ解析で、10月中旬〜下旬にも第三者がアクセスした可能性を確認した（同）。
- 対象は個人会員・購入者（会員番号、氏名、フリガナ、メールアドレス、住所、電話番号、生年月日、性別）、法人会員（会社名、部署名、代表者氏名、担当者の氏名・メールアドレス・電話番号など）、ニトリネットとECモールのニトリ公式ショップの注文データ。クレジットカード情報とログインパスワードは含まれない（同）。
- 脆弱箇所への対応と監視体制の強化は完了したとしている。件数と影響範囲はログ解析とデータ照合の結果で変わる可能性がある（同）。
わかっていないこと
- 侵入されたシステムの種類と侵入経路、「脆弱箇所」が何だったか。
- 10月中旬〜下旬のアクセスで実際に何が持ち出されたか。
- 最大3,762万件の確定値と、個人・法人・注文データの内訳。
- なりすまし連絡などの二次被害の有無。
関係しそうな既知の手口
- （考察）発表は侵入経路に触れていない。「脆弱箇所への対応」とあることから、何らかの脆弱性や設定の問題が使われた可能性はあるが、手口は特定できない。
概要
- 個人だけでなく法人会員の担当者情報や、ECモール経由の注文データまで含む（ニトリHD）。
- 対象者にはメールまたは郵送で順次連絡する。個人情報保護委員会と警察に報告・相談している（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10 中旬〜下旬 | 第三者によるアクセスの可能性（判明後のログ解析で確認） | ニトリHD |
| 2026-11-06 | 不正アクセスが判明し遮断、外部専門機関と調査開始 | 同 |
| 2026-11-09 | 最大3,762万件の流出可能性を公表 | 同 |
発表内容の整理
事実（ニトリHDの11月9日の発表による）
| 項目 | 内容 |
|---|---|
| 対象 | 同社が管理するシステム（サーバー上の個人情報） |
| 件数 | 最大3,762万件（今後変わる可能性あり） |
| 個人会員・購入者 | 会員番号、氏名（フリガナ含む）、メールアドレス、住所、電話番号、生年月日、性別 |
| 法人会員 | 会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号 |
| 注文データ | ニトリネット、ECモールのニトリ公式ショップ経由の注文 |
| 含まれない | クレジットカード情報、ログインパスワード |
| 対応 | アクセス遮断、脆弱箇所への対応、監視強化、個人情報保護委員会・警察へ報告・相談 |
出典：ニトリHD「当社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026-11-09）
考察
- 判明より前の10月中旬から侵入されていた可能性があり、少なくとも2〜3週間は検知できていなかったことになる。大量のデータ取得が検知されなかった理由は、続報で確認したい。
- ECモール経由の注文データも含まれることから、自社EC以外の販路のデータも同じ場所に集めていたと読める。データを集約する基盤ほど、一度の侵入で失われる量が大きくなる。
利用者・運用者がいまできること
- 利用者：ニトリや配送事業者、ECモールを装うメール・SMS・電話に注意し、リンクや添付ファイルを開かない。同社はパスワードやカード番号を連絡で尋ねないとしている。
- 法人会員：担当者名や部署名を知っている前提で届く請求・取引連絡は、既知の連絡先で確認する。
- 運用者：顧客データを集約したサーバーへの大量読み出しを検知できるか、アクセスログが侵入の数週間前までさかのぼれるかを確認する。