ニトリに不正アクセス、会員・購入者の情報が最大3,762万件が流出の可能性

会員情報など最大3,762万件が流出した可能性

ニトリホールディングスは11月9日、自社が管理するシステムが不正アクセスを受け、サーバー上に持つ個人情報のうち最大3,762万件が外部へ流出した可能性があると発表しました。対象には、公式通販サイト「ニトリネット」や、ECモールにあるニトリ公式ショップを通じた注文データも含まれます。

ニトリはログ解析とデータ照合を継続しており、件数は今後の調査で変わる可能性があります。

流出対象（ニトリホールディングスの発表より）

対象	含まれる情報
個人会員・商品購入者	氏名とフリガナ、住所、電話番号、メールアドレス、生年月日、性別、会員番号
法人会員	会社名と部署名、代表者氏名、会社の住所と電話番号、担当者の氏名と連絡先（メールアドレス・電話番号）、会員番号
ニトリネット・ECモールの公式ショップ	商品の注文データ
ログインパスワード・クレジットカード情報	含まれない

国内では、不正アクセスによる情報流出の公表が相次いでいます。各社が公表した件数と原因は、時系列一覧にまとめています。

個人会員と購入者は氏名・住所・生年月日などが対象

個人会員と、ニトリグループで商品を購入した人については、会員番号、フリガナを含む氏名、メールアドレス、住所、電話番号、生年月日、性別が対象です。流出した情報の内訳は、人によって異なります。氏名と住所、電話番号、メールアドレスが対象に含まれるため、本人の名前を書いたなりすましメールや詐欺電話に使われる恐れがあります。

流出した氏名や連絡先はリストにまとめられ、闇サイトなどで販売される場合があります。

法人会員は担当者の氏名と連絡先も対象

法人会員の流出対象は、会員番号と会社名・部署名・代表者氏名、会社の住所と電話番号のほか、担当者の氏名・メールアドレス・電話番号です。会社名と担当者の連絡先が対象に含まれるため、担当者の名前を書いた詐欺メールに使われる恐れがあります。

ログインパスワードとクレジットカード情報は含まれない

ニトリは、ログインパスワードとクレジットカード情報は流出対象に含まれないと発表しました。そのためパスワード変更やカード再発行は求められていませんが、ニトリを装うメールや電話には警戒が必要です。

11月6日に判明、10月中旬から侵入の可能性

ニトリが不正アクセスに気づいたのは11月6日（金）です。その後のログ解析で、10月中旬から下旬にかけても第三者がアクセスしていた可能性が見つかりました。ただし、侵入経路はまだ明らかになっていません。

不正アクセスの経緯（ニトリホールディングスの発表より）

時期	起きたこと
10月中旬〜下旬	第三者がアクセスした可能性（判明後のログ解析で確認）
11月6日（金）	不正アクセスが判明し、アクセスを遮断。外部の専門機関と調査を開始
11月9日	ニトリが発表（流出の可能性は最大3,762万件）

判明当日にアクセスを遮断し、外部の専門機関と調査を開始

ニトリは不正アクセスが判明した11月6日にそのアクセスを遮断し、同日に外部の専門機関と調査を始めました。さらに、11月9日の発表時点で、脆弱な箇所への対応と監視体制の強化は完了したとしています。 攻撃者からのアクセスは引き続き遮断中です。

侵入経路や二次被害は調査中

原因と侵入経路、二次被害有無はまだ公表されておらず、ニトリは新たにわかったことを速やかに公表するとしています。 どのシステムのどこが狙われたのかも11月9日時点では分かっておらず、調査は外部の専門機関と影響範囲も含めて継続中です。

対象者にはメールか郵送で順次通知

対象者には、ニトリからメールか郵送で順次お知らせが届きます。ただし同じ時期に、ニトリを装うメールや詐欺電話が届く恐れもあり、本物の通知と見分ける必要があります。 問い合わせ先はお客様相談室（0120-209-993）で、受付は平日・土日祝の10時から20時です。

個人情報保護委員会と警察へ報告・相談

ニトリは、個人情報保護委員会や警察などの関係機関に、本件を報告・相談中です。さらに、ニトリはアクセス制御や認証・権限管理を見直し、再発防止策を行うとしています。 監視体制も、調査結果を踏まえて見直す方針とのこと。

ニトリの購入者と法人会員は何をすればいい？

ニトリネットやECモールの購入者には、流出した可能性がある氏名や住所を使って、ニトリや配送事業者を装うメールやSMSが届く恐れがあります。法人会員の企業では、担当者の氏名とメールアドレスを使った詐欺メールが届きかねません。そのため、購入者は突然届くメールやSMSのリンクにアクセスせず、法人会員は送金を求めるメールを電話で確認しましょう。

立場ごとの備え（ニトリの発表とIPA・警察庁の資料より）

立場	備え
ニトリの購入者	突然届くメールやSMSのリンクにはアクセスしない。本物かどうかはお客様相談室に問い合わせて確認し、心当たりのない着払いは受け取らない
法人会員の企業	振込先変更を求めるメールは、名刺の連絡先へ電話して確認する。取引先とのメールに電子署名を付け、受信した不審なメールの手口を社内で共有する

購入者として：ニトリや配送事業者を装うメールやSMSを疑う

流出した可能性がある氏名や住所、電話番号は、なりすましメールやフィッシング詐欺、不審な電話に悪用されかねません。ニトリは、自社だけでなく配送事業者やECモールを装うメールや電話にも注意するよう呼びかけました。このため、突然届くメールやSMSは詐欺と考え、リンクではなく公式サイトから本物か確認しましょう。

突然届くメールやSMSのリンクにはアクセスしない

不在通知や注文確認を装ったメールやSMSが突然届いても、まずは詐欺と考えて削除しましょう。二次被害を防ぐため、リンク先のサイトで個人情報やカード番号を入力したり、アプリをインストールしたりしないでください。

ニトリはメールや電話でパスワードやクレジットカード番号、暗証番号を聞くことは無いとしているので、聞かれた時点で詐欺と判断して構いません。

本物かどうかはニトリのお客様相談室に問い合わせて確認する

ニトリからのメールや郵便物が本物か判断できないときは、記載のリンクや連絡先を使わず、ニトリの公式サイトからお客様相談室へ問い合わせましょう。お客様相談室へ直接問い合わせれば、攻撃者が用意した電話番号へ誘導される心配はありません。

心当たりのない着払いの郵便物は受け取らない

ニトリは対象者へ、メールのほか郵送でも通知します。住所も流出した可能性があるため、郵便物を使った詐欺にも注意が必要です。本人の氏名が正しく書かれた郵便物でも、注文した覚えのない着払いは受け取らないでください。

法人会員として：取引先を装って送金を求めるメールを見抜く

法人会員情報には、会社名と部署名、担当者の氏名・メールアドレス・電話番号が含まれます。警察庁は、取引先や経営者になりすましたメールで入金を促すビジネスメール詐欺に注意するよう呼びかけています。担当者の氏名と連絡先が流出した可能性があるため、取引先を装って送金を求めるメールは、電話で取引先に確認してから対応しましょう。

振込先変更を求めるメールは電話で確認する

実際の取引先になりすまして振込先変更を求め、攻撃者が指定した口座へ振り込ませるのが典型的な手口です。送金に関するメールは、メールに記載の電話番号ではなく、名刺やアドレス帳の電話番号へ電話して、送信元が本物かを確認しましょう。振込先変更や急ぎの送金を求めるメールでは、送信元のアドレスが取引先の正しいアドレスと一致するかどうかもあわせて確認しておくと確実です。

取引先とのメールに電子署名を付ける

警察庁は、なりすましを見破る対策として、取引先とのメールに電子署名を付けるよう呼びかけています。普段から取引先と電子署名付きのメールをやり取りしておき、署名の無いメールが届いたらなりすましを疑いましょう。

不審なメールの手口を社内で共有

攻撃者は同じ手口で別部署の社員を狙う可能性があるため、受信したメールの文面と送信元アドレスを経理や購買の担当者にも伝えておきましょう。あわせて、ニトリの件で担当者の連絡先が流出した可能性があることも伝えておくと、不審なメールに気づくきっかけになります。