株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムに第三者からの不正アクセスがあり、サーバー上の個人情報が最大3,762万件、外部に流出した可能性があると発表しました。対象は、ニトリグループの個人会員・商品の購入者・法人会員の情報と、ニトリネットやECモールのニトリ公式ショップでの注文データです。ログインパスワードとクレジットカード情報は対象に含まれていません。会員の人や、ニトリで買い物をしたことがある人は、ニトリや配送業者を名乗るメール・電話に特に注意し、リンクや添付ファイルを開かないようにしましょう。
ニトリの不正アクセスとは？公式発表の要点
ニトリホールディングスの発表では、2026年11月6日に社内で管理するシステムへの不正なアクセスに気づき、すぐにそのアクセスを遮断しました。その後、外部の専門機関と一緒に調べたところ、サーバーに保存していた個人情報について、最大3,762万件が外に持ち出された可能性があることが分かったとしています。
注意したいのは、3,762万件という数字が「調査中の最大値」だという点です。同社は、ログの解析とデータの照合を続けており、影響を受けた範囲と件数は今後の調査で変わる可能性があると説明しています。また、件数は「件」で示されており、3,762万人分という意味かどうかは公表されていません。同じ人が会員情報と購入者情報の両方に含まれている場合もあると考えられるため、人数は未発表として受け止めるのが正確です。
①2026年11月6日に不正アクセスを確認し、遮断
②10月中旬から下旬にも第三者がアクセスしていた可能性
③最大3,762万件の個人情報が流出した可能性（件数は調査中）
④ログインパスワードとクレジットカード情報は対象外
これまでの経緯
公式発表に示された経緯を表にまとめました。原因や侵入経路は、まだ明らかにされていません。
| 時期 | 出来事 |
|---|---|
| 2026年10月中旬〜下旬 | 第三者によるアクセスが行われた可能性（11月6日以降のログ解析で判明。詳細は調査中） |
| 2026年11月6日（金） | 不正アクセスが判明。アクセスを遮断し、外部専門機関と原因・侵入経路・影響範囲の調査を開始 |
| 2026年11月9日（月） | 最大3,762万件の個人情報が流出した可能性があると公表 |
| 今後 | 対象者へメールまたは郵送で順次連絡。新たな事実が分かれば公表 |
流出した可能性がある情報と、流出していない情報
ニトリホールディングスは、対象を3つに分けて公表しています。どの情報が含まれるかは人によって異なり、全員の全項目が流出したわけではありません。
| 対象 | 流出した可能性がある情報 |
|---|---|
| 個人会員・ニトリグループでの商品購入者 | 会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別 |
| 法人会員 | 会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号 |
| 注文データ | ニトリネット、ECモールのニトリ公式ショップを通じた注文の情報 |
一方で、ログインパスワードとクレジットカード情報は、今回の流出の対象に含まれていないと明記されています。そのため、カードの停止や再発行をすぐに急ぐ必要は、公式発表の範囲では示されていません。ただし、注文データにどの項目が含まれるか（購入した商品名や届け先など）は、細かくは公表されていません。
なぜ注意が必要なのか
パスワードやカード番号が含まれていなくても、氏名・住所・電話番号・メールアドレス・生年月日がそろうと、本物らしく見える「なりすまし」の連絡を作りやすくなります。たとえば、宛名に本名が入ったメールや、住所を正しく言い当てる電話が来ると、つい信じてしまいがちです。ニトリホールディングス自身も、流出した可能性がある情報が、なりすましメール、フィッシング詐欺、不審な電話などに悪用されるおそれがあると呼びかけています。
なお、二次被害が起きているかどうかは、同社が外部専門機関と調査を続けている段階です。現時点で被害が出たという発表はありません。
対象になるのはどんな人？
公式発表の内容から、次のような人は対象に含まれている可能性があります。
- ニトリグループの個人会員に登録している人（会員番号を持っている人）
- ニトリグループで商品を買ったことがある人（購入者情報として記録されている人）
- ニトリネットで注文したことがある人
- ECモールに出店しているニトリ公式ショップで注文したことがある人（対象のモール名は公表されていません）
- ニトリの法人会員として登録している会社と、その担当者
自分が実際に対象かどうかを調べるページは、2026年11月9日の発表時点では案内されていません。同社は、対象となる人にはメールまたは郵送で順次連絡するとしています。連絡が届くまでは、「自分も含まれているかもしれない」という前提で備えておくのが安全です。
今すぐできる対策
パスワードとカード情報は対象外のため、まず気をつけたいのは「流出した情報を使った詐欺」です。次のチェックリストで確認しておきましょう。
1. ニトリや配送業者を名乗る連絡を疑う
同社は、ニトリや配送事業者、ECモールなどを装った連絡に注意するよう呼びかけています。「お詫びのポイントを付与します」「返金の手続きをしてください」「お届けできなかった荷物があります」といった内容でリンクに誘導するメールやSMSが届いても、本文のリンクは押さず、添付ファイルも開かないでください。お詫びの連絡が本物かどうか迷ったときは、ブックマークや検索から公式サイトを開いて、お知らせの内容と見比べます。
2. パスワード・カード番号・暗証番号は答えない
ニトリホールディングスは、メールや電話でパスワード、クレジットカード番号、暗証番号などを聞くことはないと明言しています。電話で「本人確認のため」「返金のため」とカード番号を聞かれたら、その時点で詐欺を疑って電話を切りましょう。
3. 問い合わせは公式サイトに載っている窓口へ
不審な連絡を受けたときは、そのメールや電話で示された連絡先には返信・折り返しをせず、公式サイトに載っている問い合わせ窓口を使うよう案内されています。詐欺の連絡には、偽の電話番号が書かれていることがあるためです。
4. 念のため、使い回しや登録情報を見直す
ログインパスワードは対象外ですが、メールアドレスが知られると、ほかのサービスへのなりすましログインを試される入り口になります。ニトリネットと同じパスワードをほかのサイトでも使っている場合は、この機会に別々のパスワードへ変えておくと安心です。また、クレジットカードの利用明細を月に1回は確認し、覚えのない請求があればカード会社に連絡しましょう。
| チェック項目 | やること |
|---|---|
| メール・SMS | ニトリ・配送業者・ECモールを名乗るリンク付きの連絡は開かない |
| 電話 | パスワード・カード番号・暗証番号を聞かれたら切る |
| 問い合わせ | 公式サイトに載っている窓口へ自分から連絡する |
| パスワード | ほかのサイトと使い回していれば変更する |
| カード明細 | 覚えのない請求がないか定期的に確認する |
困ったときの相談先
今回の件そのものについての問い合わせは、ニトリホールディングスのお客様相談室が受け付けています。
| 窓口 | 内容 |
|---|---|
| ニトリホールディングス お客様相談室 | 電話 0120-209-993（平日・土日祝 10時〜20時）。公式サイトのお問い合わせフォームもあり |
| 消費者ホットライン | 電話 188。不審な請求や契約のトラブルを近くの消費生活センターにつなぐ |
| 警察のサイバー犯罪相談窓口 | 詐欺の被害にあった、お金を払ってしまったときは、各都道府県警察の窓口へ |
| フィッシング対策協議会 | フィッシングメールや偽サイトの報告、最新の手口の確認 |
お客様相談室に電話するときも、届いたメールに書かれた番号ではなく、公式サイトや公式発表に載っている番号を自分で確かめてからかけるようにしましょう。なお、同社は今回の件を個人情報保護委員会や警察などの関係機関に報告・相談していると発表しています。
ニトリの今後の対応
ニトリホールディングスは、攻撃者からのアクセスの遮断を続けるとともに、弱点となっていた箇所への対応と監視体制の強化を終えたとしています。今後は外部専門機関の協力を得て、原因・侵入経路・影響範囲・二次被害の有無の調査を続け、その結果を踏まえて、アクセス制御、認証・権限の管理、監視体制などを見直す方針です。新たに公表すべきことが分かった場合は、速やかに知らせるとしています。
原因や対象者の人数、注文データに含まれる項目などは、現時点では未発表です。続報が出たら内容を確認しましょう。
よくある質問
Q. ニトリネットのパスワードは変えたほうがいいですか？
A. 公式発表では、ログインパスワードは流出の対象に含まれていません。変更は必須とはされていませんが、同じパスワードをほかのサイトでも使っている場合は、それぞれ別のパスワードに変えておくと安心です。
Q. クレジットカードは止めたほうがいいですか？
A. クレジットカード情報は対象外とされています。すぐに停止する必要は示されていませんが、利用明細に覚えのない請求がないかは確認しておきましょう。
Q. 自分が対象かどうかはどうすれば分かりますか？
A. 2026年11月9日時点で、対象かどうかを調べるページは案内されていません。対象者にはメールまたは郵送で順次連絡するとされています。ただし、その連絡を装った偽メールにも注意してください。
Q. 店舗で買い物をしただけでも対象になりますか？
A. 発表では「ニトリグループでの商品の購入者情報」も対象とされていますが、どの購入方法の人が含まれるかの詳しい条件は公表されていません。気になる場合はお客様相談室に問い合わせてください。
まとめ
ニトリホールディングスは2026年11月9日、11月6日に確認した不正アクセスにより、会員・購入者・法人会員の情報や注文データが最大3,762万件流出した可能性があると発表しました。流出の可能性がある情報は、氏名、住所、電話番号、メールアドレス、生年月日などで、ログインパスワードとクレジットカード情報は含まれていません。件数や原因は調査中で、今後変わる可能性があります。
いちばん気をつけたいのは、本名や住所を知ったうえで送られてくる偽メールや不審な電話です。ニトリ・配送業者・ECモールを名乗るリンク付きの連絡は開かず、パスワードやカード番号は答えず、問い合わせは公式サイトの窓口へ自分から行いましょう。
