パスワードとクレジットカード情報は対象外。ニトリの発表で真っ先に目に入るこの一文に、胸をなで下ろした人も多いはずです。けれども最大3,762万件の対象には、氏名や住所、生年月日、法人の担当者の連絡先まで並んでいます。この数字をどう読み、これから届く連絡をどう見分ければよいのでしょうか。
株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムへの第三者による不正アクセスにより、サーバー上に保有する個人情報が最大3,762万件外部に流出した可能性があると発表した。11月6日に不正アクセスを確認して遮断し、その後のログ解析で10月中旬から下旬にもアクセスがあった可能性が判明した。対象は個人会員とニトリグループでの商品購入者の会員番号、氏名、メールアドレス、住所、電話番号、生年月日、性別、法人会員の会社名や代表者氏名、担当者情報など、ニトリネットとECモールのニトリ公式ショップの注文データで、組み合わせは顧客ごとに異なる。
ログインパスワードとクレジットカード情報は含まれない。侵入経路は調査中で、件数は今後変わる可能性がある。
From: 
当社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ（株式会社ニトリホールディングス）
【編集部解説】
ニトリホールディングスが、最大3,762万件という大規模な個人情報流出の可能性を公表しました。ただ、この数字は読み方に少し注意が要ります。
3,762万件は「件数」であり、人数と同じとは限りません。ニトリの決算説明資料によると、2026年3月末のアプリ会員は2,536万人でした。件数はこれより多い数字ですが、集計の対象も単位も違うため、単純には比べられません。今回の対象はアプリ会員に限らず、グループでの商品購入者、法人会員、ニトリネットとECモールの公式ショップの注文データにまで及びます。同じ人が会員としても購入者としても数えられているのかどうか、実際の人数が何人なのかについて、今回の公表文には説明がありません。
この件数は、現時点で見込まれる最大の数字です。ニトリは、ログ解析とデータの照合を続けており、影響範囲と件数は今後変わる可能性があるとしています。
利用者にとって大事なのは、パスワードとカード番号が対象外でも、安心しきらないことです。
対象となる項目には、氏名、住所、電話番号、メールアドレス、生年月日が含まれます（組み合わせは利用者ごとに異なります）。こうした情報を添えると、事情を知っている相手のように見せかけた、本物らしい偽のメールや電話を作れます。ニトリは、同社や配送事業者、ECモールを装った連絡に注意するよう呼びかけています。たとえば、家具や家電の配送案内を装った連絡にも気をつけておきたいところです。
覚えておきたいのは次の4点です。
・ニトリは、対象となる利用者にメールまたは郵送で順次連絡するとしています。本物の通知が届くこともあるので、届いた連絡が本物かどうかは次の方法で確かめます。
・ニトリがメールや電話でパスワード、カード番号、暗証番号を聞くことはないと、同社は明言しています。
・届いた連絡に書かれた電話番号やリンクは使わず、ブックマークなどから公式サイトを開き、問い合わせ窓口で確かめます。
・ニトリと同じパスワードをほかのサービスで使っている場合、今回は対象外でも、この機会に変えておくと安心です。
法人会員が対象に含まれている点も見逃せません。会社名、部署名、代表者氏名、担当者の氏名・メールアドレス・電話番号は、取引先を装って振込先の変更などを求める「ビジネスメール詐欺」の材料になり得ます。ニトリで備品を買っている企業の経理や総務の担当者は、見慣れた取引先からの依頼でも、もともと知っている連絡先に別の経路で確かめる習慣を持っておきたいところです。
不正アクセスが見つかったのは11月6日ですが、それより前の10月中旬から下旬にも、第三者によるアクセスがあった可能性があります。ニトリは発覚後ただちにアクセスを遮断し、ログ解析などで過去のアクセスの可能性も確認しました。侵入経路を含め、影響範囲と件数の調査は続いています。
この1か月、国内ではノジマオンライン（約700万件）、アイリスプラザ（約770万人分）、クラブツーリズム（約432万件）と、会員情報の漏えいや、その可能性についての公表が続いています。
内閣官房の国家サイバー統括室は11月5日、相次ぐ情報漏えいを受けて、ウェブサイトやモバイルアプリを運営する事業者に基本的な対策の徹底を求めました。そのなかで、攻撃者が国内の公開サイトを大規模に調べて侵入しており、標的の調査や侵害にAIを使っている可能性も高いと指摘しています。一方、11月9日付のニトリの公表文は、AIの関与に言及していません。個々の事案と結びつけるのではなく、攻撃の規模と速さが増している時代の背景として受け止めるのが適切です。
ニトリは、調査結果を踏まえてアクセス制御、認証・権限管理、監視体制を見直すとしています。2026年3月末に2,536万人のアプリ会員を抱える会員基盤を、どう守っていくのか。侵入経路と確定件数の続報は、ニトリだけでなく、会員アプリを軸に顧客とつながるすべての小売企業にとって、自社の設計を見直す手がかりになるはずです。
【関連記事】
情報が漏れたかもしれないときの手引き｜メール・パスワード・カード・口座別の対処と相談先
自分の情報が漏れたかもしれないときに、何から確かめ、どこに相談すればよいかを、メール・パスワード・カード・口座の種類別にまとめた。
ノジマオンラインに不正アクセス、会員情報約700万件が漏えい カード情報は非保持で対象外
11月2日に公表されたノジマオンラインの事案。会員情報約700万件の漏えいと、カード情報を保持していなかったため対象外になった経緯。
【解説】アイリスプラザ約770万人分に漏えいの可能性、ドコモは30万件流出 アララ経由も相次ぐ
アイリスプラザ約770万人分の漏えいの可能性とドコモの30万件流出、委託先のアララ経由で相次いだ公表を整理した解説記事。
政府、サイバー攻撃の緊急対策パッケージを決定 IPAにAI活用のトップガン人材チーム
相次ぐ不正アクセスを受けて政府が決めた緊急対策パッケージの中身。IPAにAIを活用するトップガン人材のチームを置く構想も含む。
【編集部後記】
ニトリは、対象となる利用者にメールか郵送で順次連絡するとしています。少し皮肉なのは、その本物の通知が、これから出回るかもしれない偽の通知とよく似た姿で届くことです。
ニトリを名乗る流出のお知らせが届いたら、私はまずリンクを押さずに閉じて、ブックマークから公式サイトを開くつもりです。お詫びの連絡ほど、確かめる手間を惜しまないこと。皆さんは、届いた通知が本物かどうか、ふだん何で見分けていますか。
【用語解説】
ECモール
複数の事業者が出店するインターネット上の商店街。利用者はモールのアカウントで各店舗の商品を購入する。今回の対象には、ECモール内のニトリ公式ショップでの注文データが含まれる。
ログ解析
サーバーや通信機器が記録した操作・通信の履歴（ログ）をさかのぼって調べること。不正アクセスの調査では、侵入の時期や経路、持ち出された可能性のあるデータの範囲を推定する手がかりになる。
ビジネスメール詐欺（BEC）
取引先や経営者になりすましたメールで、振込先の変更や送金を指示し、金銭をだまし取る詐欺。会社名、部署名、担当者名など、実在の取引情報を添えて信用させようとする。
【参考リンク】
株式会社ニトリホールディングス（外部）
家具・インテリアのニトリなどを傘下に持つ持株会社。今回の不正アクセスの適時開示のほか、IR資料や決算説明資料を掲載している。
ニトリネット（外部）
ニトリの公式通販サイト。今回の対象となった注文データの一部はこのサイト経由のもの。対象者向けの問い合わせフォームもここにある。
内閣官房 国家サイバー統括室（外部）
政府のサイバーセキュリティ政策の司令塔となる組織。11月5日に、ウェブサイトやアプリを運営する事業者向けの不正アクセス対策を公表した。
個人情報保護委員会「漏えい等の対応とお役立ち資料」（外部）
個人情報の漏えい等が起きたときに、事業者が行うべき委員会への報告と本人への通知の仕組みを、資料とあわせて案内するページ。
警察庁「ビジネスメール詐欺に注意！」（外部）
取引先や経営者を装って振込先の変更を指示する手口と、もともと知っている連絡先に別の経路で確かめる対策を解説する警察庁のページ。
【参考記事】
ニトリに不正アクセス、最大3762万件の個人情報流出の可能性 法人会員も対象に（外部）
ITmedia NEWS。11月6日の発覚と10月中旬から下旬のアクセスの可能性、個人会員と法人会員それぞれの対象項目を報じた記事。
国家サイバー統括室、事業者向けに不正アクセス対策のポイントをまとめた資料を公開（外部）
INTERNET Watch。NCOが11月5日に公表した資料を、運用・管理、設計・開発、サプライチェーンの3領域、計8項目に沿って紹介。
ニトリの2026年3月期EC売上は908億円で6.2%減、前期はサイトをEC総合モール化（外部）
ネットショップ担当者フォーラム。2026年3月末のアプリ会員2,536万人や通販事業売上高908億円など、ニトリのEC事業の数字を伝えた。
