ニトリHDが不正アクセスを11月6日に確認、個人情報最大3762万件が流出した可能性

ニトリホールディングスが管理するシステムに第三者による不正アクセスがあり、サーバー上の個人情報が最大3762万件、外部に流出した可能性があります。対象はニトリグループの個人会員や商品購入者、法人会員の情報で、ログインパスワードとクレジットカード情報は含まれていません。対象の顧客には、メールか郵送で順次連絡する予定です。

氏名や連絡先に加え、ネット通販の注文データも対象

個人会員とニトリグループでの商品購入者については、会員番号、氏名とフリガナ、メールアドレス、住所、電話番号、生年月日、性別が流出した可能性があります。インターネット通販サイト「ニトリネット」と、ECモールに出店するニトリ公式ショップの注文データも対象に含まれます。

法人会員については、会員番号、会社名、部署名、代表者氏名、会社の住所と電話番号が対象です。担当者の氏名、メールアドレス、電話番号も含まれますが、流出した可能性がある情報の組み合わせは顧客ごとに異なります。

11月6日にアクセスを遮断、10月の接続履歴も調査

ニトリホールディングスは11月6日に不正アクセスを確認し、直ちにアクセスを遮断しました。そのうえで、外部の専門機関と連携して影響範囲の調査を始め、11月9日に個人情報流出の可能性を公表しました。

その後、システムへの接続などを記録したログの解析で、10月中旬から下旬にも第三者によるアクセスがあった可能性が判明しています。ニトリホールディングスは詳しい経緯を調べています。

問い合わせは、お客様相談室のフリーダイヤル「0120-209-993」と問い合わせフォームで受け付けています。電話の受付時間は午前10時から午後8時までで、土日祝日も対応します。

流出対象の連絡先に関わる詐欺のリスク

今回の流出対象には、メールアドレス、電話番号、住所、氏名が含まれます。これらの情報が漏えいした場合、詐欺目的の偽メールや携帯電話のショートメッセージ（SMS）、電話、不審な郵便物に悪用される可能性があります。偽メールの文面に、漏えいした本人の氏名が記載される場合もあります。

こうした連絡を使う手口の一つが、実在する企業やサービスを装って偽サイトへ誘導し、IDやパスワードなどを盗む「フィッシング」です。誘導する文面には、個人情報の漏えいや不正アクセスの検知、取引の停止などを持ち出し、切迫感を与えてログインさせようとするものがあります。

電子メールでは、受信者に表示される送信元の名称やメールアドレスを偽装できます。そのため、表示された送信元情報だけで真偽を判断することは困難です。偽サイトで認証情報を盗まれると、アカウントを乗っ取られ、インターネット通販で勝手に買い物をされるなどの被害につながる可能性があります。

ニトリアプリでは2022年にも不正ログイン

ニトリグループでは、2022年9月にもスマートフォン向けの「ニトリアプリ」を通じた不正ログインが起きています。当時、不正ログインを受けた可能性があるユーザーIDは約13万2000アカウントで、対象期間は同年9月15日から20日でした。

ニトリホールディングスは当時、他社サービスから流出したIDとパスワードを使ってログインを試みる「リスト型攻撃」が行われたと推測していました。不正ログインされた可能性があるアカウントには、順次パスワードのリセットを実施しました。

漏えいのおそれも当局への報告対象

今回のような不正アクセスに関わる個人データの流出では、漏えいが確定する前の「おそれ」がある段階も、当局への報告義務の対象に含まれます。民間事業者では、不正な目的で行われたおそれのある行為による個人データの漏えいや、対象となる本人の数が1000人を超える漏えいなどが報告対象です。

報告は発覚後、速やかに行う必要があります。不正な目的で行われたおそれがある場合の報告期限は、発覚日から60日以内です。