ニトリ最大3,762万件の個人情報流出か｜会員・購入者が確認すべきこと

ニトリホールディングスは2026年11月9日、同社が管理するシステムへの不正アクセスにより、個人情報が外部へ流出した可能性があると発表しました。対象は最大3,762万件です。

対象になり得るのは、ニトリの個人会員・法人会員、ニトリネットやECモール内のニトリ公式ショップで商品を購入した方です。氏名や住所、電話番号、メールアドレス、注文データなどが含まれる可能性があります。

一方、クレジットカード情報とログインパスワードは含まれていないと発表されています。この記事では、公式発表で分かった対象範囲と、自分が対象か確認する方法、ニトリや配送会社を装う連絡への対策を整理します。

ニトリで何が起きたのか

ニトリホールディングスは11月6日、同社が管理するシステムへの第三者による不正アクセスを確認しました。直ちに攻撃者からのアクセスを遮断し、外部の専門機関とともに調査したところ、10月中旬から下旬にも不正なアクセスが行われた可能性が分かりました。

ニトリは、脆弱性が確認された箇所への対策と監視強化を実施しています。原因、侵入経路、影響範囲、二次被害の有無については調査中です。

対象者と、流出した可能性がある情報

公式発表では、対象となる可能性がある情報を次の3つに分けています。すべての方について同じ項目が含まれるわけではなく、保有されている情報の組み合わせは人によって異なります。

個人会員・商品を購入した方

• 会員番号
• 氏名（フリガナを含む）
• メールアドレス
• 住所
• 電話番号
• 生年月日、性別

法人会員

• 会員番号、会社名、部署名
• 代表者名、会社住所、会社電話番号
• 担当者の氏名、メールアドレス、電話番号

ニトリネット・ECモール公式ショップの注文データ

ニトリネットのほか、ECモール内のニトリ公式ショップを通じた商品の注文データも対象になり得ます。注文データに含まれる具体的な項目や件数は、11月9日の発表では示されていません。

含まれていないと確認された情報

• クレジットカード情報
• ウェブサイトのログインパスワード

※対象となる情報の組み合わせや正確な件数は調査中です。記事では公式発表にない項目を推測していません。

自分が対象か確認する方法

ニトリは、対象となる方へメールまたは郵送で順次連絡するとしています。連絡が届く時期や、対象者が自分で照会できる専用ページについては、11月9日時点で案内されていません。

ただし、「対象確認」などと書かれたメールが届いても、その内容だけで本物とは判断しないでください。案内を確認するときは、メール内のリンクを開くのではなく、ブラウザの検索や普段のブックマークからニトリ公式サイトを開き、「重要なお知らせ」を確認しましょう。

注文情報を知っている偽の連絡に注意

ニトリは、流出した可能性がある情報を使ったなりすましメール、フィッシング、不審な電話への注意を呼びかけています。ニトリ、配送会社、ECモールを名乗る連絡には特に注意してください。

「配送先を確認してください」という連絡

氏名や住所、注文内容の一部が書かれていても、それだけで本物とは限りません。確認用URLを開かせ、カード情報やログイン情報を入力させる手口が考えられます。

「返金・再決済が必要です」という連絡

返金や決済エラーを理由にカード番号、暗証番号、認証コードなどを求められても入力しないでください。ニトリは、メールや電話でパスワード、カード番号、暗証番号を尋ねることはないと案内しています。

「会員情報・ポイントを更新してください」という連絡

期限を示して手続きを急がせるメールやSMSでは、その場でリンクを開かないでください。公式サイトを自分で開き、同じ案内があるか確認します。

※上記は公式の注意喚起をもとにした想定例です。11月9日時点で、実際の二次被害が確認されたという意味ではありません。

今すぐできる4つの対策

1．公式のお知らせを確認する

ニトリからメールや郵送で案内が届いたら、まず落ち着いて内容を確認します。手続きを求める案内の場合は、記載されたリンクをそのまま開かず、ブラウザの検索やブックマークからニトリ公式サイトを開きましょう。

2．注文情報の確認は公式サイトで行う

氏名、住所、注文内容を知っている連絡でも、本物とは限りません。「配送確認」「返金」「会員情報の更新」などを理由に急がされても、メッセージ内のリンクは使わず、公式サイトや公式窓口から確認してください。

3．カード情報やパスワードを入力・回答しない

今回、クレジットカード情報とログインパスワードは対象外と発表されています。ニトリを名乗る連絡でこれらを求められたら、入力も回答もしないでください。

4．不審な連絡を保存して公式窓口へ相談する

送信元、受信日時、件名、本文、URLが分かるスクリーンショットを保存します。メールやSMSへ返信せず、ニトリ公式サイトに掲載された窓口へ相談しましょう。

ニトリの問い合わせ先

• ニトリホールディングス お客様相談室
• 電話：0120-209-993
• 受付時間：10:00～20:00（平日・土日祝）
• ニトリネット公式サイトの問い合わせフォーム

問い合わせ先は、不審なメールやSMSに書かれた連絡先ではなく、ニトリ公式サイトから確認してください。

まとめ

ニトリの管理システムが第三者から不正アクセスを受け、個人会員・法人会員や商品購入者の情報が最大3,762万件、外部へ流出した可能性があります。正確な件数と影響範囲は調査中です。

クレジットカード情報とログインパスワードは含まれていないと発表されています。ニトリや配送会社を名乗る連絡が氏名や注文情報を知っていても、すぐに信用せず、公式サイトを自分で開いて確認してください。

新たな事実が公表された場合は、この記事でも内容を確認し、必要に応じて更新します。

参考資料

• ニトリホールディングス「当社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」
• ニトリホールディングス ニュース一覧
• IPA 情報セキュリティ安心相談窓口