ニトリで最大3,762万件。ECモールのニトリ公式ショップで買った人も対象、侵入は判明の数週間前から

• ニトリホールディングスは11月9日、管理するシステムへの第三者の不正アクセスで、サーバーに保有する個人情報最大3,762万件が外部に流出した可能性があると発表した
• 対象は、ニトリグループの個人会員と商品の購入者（氏名、フリガナ、メールアドレス、住所、電話番号、生年月日、性別など）、法人会員、そしてECモールのニトリ公式ショップからの注文の情報。ログインパスワードとクレジットカード情報は含まれない
• 判明は11月6日だが、調べたところ10月中旬から下旬にも第三者のアクセスがあった可能性がある。侵入に気づくまで、数週間あったことになる

ニトリが発表したこと

情報の組み合わせは人によって違う。対象の人には、メールか郵送で順に連絡するという。

「ニトリの会員じゃない」と思っている人も

ここからは筆者の見方だ。今回、見落としやすいのはECモールのニトリ公式ショップの注文が含まれていることだと思う。

ショッピングモールに出店しているニトリの公式ショップで商品を買った人は、自分では「モールで買い物をした」と思っていて、ニトリの会員になった覚えはないかもしれない。それでも、注文の情報がニトリの側に残っていれば対象になりうる。ニトリから連絡が届いて驚く人もいるだろう。逆に言えば、モールを名乗る連絡も、ニトリを名乗る連絡と同じくらい注意が要る。ニトリも、自社だけでなく「配送事業者、ECモール等を装った連絡」に注意するよう呼びかけている。

氏名、住所、電話番号、生年月日がそろうということ

今回の項目は、氏名、住所、電話番号、生年月日、性別、メールアドレス。本人確認でよく聞かれる情報が、ひととおりそろっている。

この秋は、無印良品、アソビュー（アララメッセージ）、ドコモと、大きな漏えいが続いている。1つ1つの漏えいでは足りない情報も、いくつも重なると、ひとりの人について「何でも知っている」ように振る舞える材料になる。名前も住所も誕生日も合っている連絡が来ても、それは本物の証拠にはならない。

もう1つ、侵入に気づくまでの時間も気になる。ニトリは、判明した11月6日より前、10月中旬から下旬にもアクセスがあった可能性を確認している。気づかれないまま数週間、という例は珍しくない。

ニトリで買い物をしたことがある人がやること

1. ニトリ、配送業者、ECモールを名乗るメール、SMS、電話のリンクや添付ファイルは開かない
2. ニトリは、メールや電話でパスワード、カード番号、暗証番号を聞くことはないとしている。聞かれたら、それは偽物だと考える
3. 不審な連絡を受けたら、そこに書かれた連絡先ではなく、ニトリの公式サイトに載っている窓口に自分から問い合わせる
4. パスワードは対象外とされているが、ほかのサービスと使い回しているなら、この機会に変えておく
5. 法人会員の担当者は、会社名や部署名、担当者名を言い当てた請求や支払いの連絡に気をつける

まとめ

• ニトリで最大3,762万件の個人情報が流出した可能性。氏名、住所、電話番号、生年月日など。パスワードとカード情報は対象外
• 個人会員と購入者、法人会員、そしてECモールのニトリ公式ショップの注文も対象
• 判明は11月6日、10月中旬から下旬にもアクセスの可能性
• ニトリ、配送業者、モールを名乗る連絡に注意。確かめるときは公式の窓口へ自分から

出典

• 株式会社ニトリホールディングス「当社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年11月9日）
• STVニュース北海道「ニトリグループ個人会員など最大3762万件の情報流出か 不正アクセス受け直ちに遮断も」（2026年11月9日）

本記事は2026年11月9日時点の情報に基づく。件数は調査で変わる可能性がある。「『ニトリの会員じゃない』と思っている人も」と「氏名、住所、電話番号、生年月日がそろうということ」は筆者の見方である。