日本の家具・ホームファッション大手ニトリは、攻撃者が同社ネットワーク上のシステムにアクセスし、顧客情報3,762万件を盗み出した可能性があることを明らかにしました。
不正アクセスは11月6日に検知され、同社はアクセスを遮断しました。しかし、その後の調査で、攻撃者は10月中旬ごろからこのシステムにアクセスできていた可能性が高いことが判明しました。
ニトリは「日本のIKEA」とも呼ばれる家具・ホームファッションの大手小売企業です。国内で879店舗を運営しているほか、中国、韓国、台湾、タイ、シンガポール、香港にも合計219店舗を展開しています。年間売上高は58億ドルです。
同社の発表によると、今回のインシデントの影響を受けるのは、ニトリの公式店舗やオンラインショップで注文した個人会員、法人会員、非会員の顧客です。
同社は発表の中で、「2026年11月6日、当社が管理するシステムに対する第三者による不正アクセスを確認しました」と説明しています（機械翻訳）。発表文
「これまでの調査により、当社サーバーに保管していた個人情報最大3,762万件が外部に流出した可能性があることが判明しました」
流出した可能性のある情報は、次のとおりです。
- 個人会員・購入者：会員番号、氏名、メールアドレス、住所、電話番号、生年月日、性別
- 法人会員：会員番号、会社名、部署名、代表者名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号
- オンライン注文：ニトリネット、およびECモール上のニトリ公式ショップでの購入に関する注文情報
同社によると、登録会員のアカウントパスワードとクレジットカード情報は、今回のインシデントでは流出していません。
ニトリは、攻撃者のアクセスを速やかに遮断し、システムの脆弱性に対処したうえで、再発防止に向けて脅威の監視体制も強化したとしています。
同社は、影響を受けた可能性のある顧客に対し、流出した情報がフィッシング攻撃や詐欺に悪用される恐れがあるとして、注意を呼びかけました。
また、ニトリがメールや電話でパスワード、クレジットカード番号、暗証番号を尋ねることは一切ないと強調しています。
ニトリは、個人情報保護委員会や警察などの関係当局に報告済みです。影響を受けた顧客には、メールまたは郵送で個別に通知する方針です。
BleepingComputerはニトリに対し、インシデントについて問い合わせています。回答があり次第、本記事を更新します。
