ニトリ情報流出は誰が対象？3762万件の影響と確認方法
家具・インテリア大手のニトリで、大規模な個人情報流出の可能性が明らかになりました。
ニトリホールディングスは2026年11月9日、同社が管理するシステムへの第三者による不正アクセスを受け、最大3,762万件の個人情報が外部に流出した可能性があると発表しました。
対象にはニトリグループの会員だけでなく、商品を購入した人の情報やネット通販の注文データも含まれています。普段は店舗でしか買い物をしない人や、会員登録をせずにネット通販を利用した人にとっても、気になる発表です。
一方、ニトリは今回の漏えい対象にクレジットカード情報とログインパスワードは含まれていないと説明しています。
ここで注意したいのは、最大3,762万件という数字が、そのまま3,762万人の被害確定を意味するわけではないことです。実際の流出件数や対象者の詳細については、現在も調査が続いています。
この記事では、11月9日付のニトリホールディングスの公式発表をもとに、誰が対象になる可能性があるのか、何の情報が含まれるのか、自分で確認する方法と必要な対処を整理します。
ニトリで最大3,762万件の個人情報流出の可能性｜何が起きた？
今回の問題が判明したのは、2026年11月6日です。ニトリホールディングスは、自社が管理するシステムで第三者による不正アクセスを確認し、直ちにそのアクセスを遮断しました。
その後、外部の専門機関と連携してログ解析などを進めたところ、11月6日より前の10月中旬から下旬にも、第三者がシステムへアクセスしていた可能性が見つかりました。
調査対象となったサーバーには大量の顧客情報が保存されており、そのうち最大3,762万件について、外部に流出した可能性があると発表されたのです。
| 項目 | 発表内容 |
|---|---|
| 発表企業 | ニトリホールディングス |
| 不正アクセス判明日 | 2026年11月6日 |
| 過去のアクセス | 10月中旬～下旬にも行われた可能性 |
| 流出した可能性のある件数 | 最大3,762万件 |
| 対象情報 | 個人会員情報、購入者情報、法人会員情報、通販の注文データなど |
| 対象外の情報 | クレジットカード情報、ログインパスワード |
| 現在の対応 | 不正アクセスを遮断し、原因・影響範囲・二次被害の有無を調査中 |
ニトリは攻撃者からのアクセスを遮断しているほか、システムの脆弱な箇所への対応と監視体制の強化を完了したと説明しています。
ただし、アクセスを遮断できたことと、過去に何の情報が持ち出されたかを完全に把握できたことは別です。実際にどこまで影響が及んだのかについては、引き続き確認が必要な段階となっています。
誰が対象？ニトリの会員・店舗購入者・ネット通販利用者を確認
今回の発表で最も気になるのは、自分が対象になっているかどうかでしょう。
ニトリが公表した対象区分は、大きく分けて「個人会員および商品購入者」「法人会員」「ネット通販の注文データ」の3種類です。
ここで重要なのは、ニトリの会員登録をした人だけが対象とは限らないということです。
ニトリの会員登録をしている人
ニトリグループの個人会員情報は、今回の流出対象に含まれています。
会員番号、氏名、メールアドレス、住所、電話番号、生年月日、性別などが対象として挙げられているため、ニトリのメンバーズサービスを利用している人は、今後の案内を確認しておきたいところです。
ただし、会員登録者全員の情報が流出したと確認されたわけではありません。個々の会員が対象となっているか、どの項目が含まれているかは、現時点では明らかになっていません。
店舗で商品を購入しただけの人
公式発表には、個人会員とは別に「ニトリグループでの商品購入者」という対象区分があります。
そのため、ニトリの店舗で商品を購入した人についても、個人情報が保存されていた場合には対象となる可能性があります。
例えば、大型家具の配送を依頼するときには、氏名や住所、電話番号などの情報を登録することがあります。一方、会員登録をせず、店舗で現金払いをして小物を購入しただけの人について、どこまで影響するのかは公表されていません。
「店舗で買い物をした人は全員対象」とも、「会員になっていなければ対象外」とも断定できない点に注意が必要です。
ニトリネットを利用した人・ゲスト購入した人
ニトリ公式通販「ニトリネット」の注文データも、今回の対象に含まれています。
ニトリネットには、会員登録をしなくても商品を注文できるゲスト購入の仕組みがあります。ニトリの公式ご利用ガイドでも、会員登録せずに注文できることが案内されています。
つまり、会員登録をしていないという理由だけでは、過去のネット通販の注文データが対象外だとは判断できません。
ただし、ゲスト購入者の情報が今回どの程度含まれているのか、いつの注文まで影響があるのかは未公表です。以前に一度だけニトリネットを利用した人についても、現段階では個別の判定ができません。
楽天市場などのECモールで購入した人
ニトリは、ECモール内に設けられたニトリ公式ショップを通じた商品の注文データも対象としています。
このため、ニトリネット以外でニトリの公式ショップを利用した経験がある人も、今回の発表を確認しておく必要があります。
ただし、公式資料では各ECモールの店舗名や対象件数まで細かく区分されていません。どのモールで購入した人が何件対象になったのか、注文データに具体的にどの項目が含まれていたのかも不明です。
また、今回の不正アクセスが各ECモール自体のシステムで発生したと発表されたわけではありません。ニトリが管理するシステムへの不正アクセスと、モール側のシステムへの侵入は区別して考える必要があります。
デコホーム・島忠・N+の利用者は対象になる？
ニトリグループには、ニトリ以外にもデコホーム、N+、島忠・島忠ホームズなどがあります。
ニトリのメンバーズサービスは、これらの店舗やニトリネット、シマホネットなどでも利用できる仕組みです。そのため、ニトリ以外のグループ店舗で会員サービスを利用している人も、今回の発表と無関係だとは言い切れません。
ただし、共通の会員サービスを利用できることと、今回の不正アクセスで各ブランドの顧客情報が実際に流出したことは同じではありません。
ニトリはブランド別の流出件数や対象範囲を公表していないため、デコホームや島忠などの利用者についても、今後の正式な案内を待つ必要があります。
何の個人情報が流出した可能性がある？クレカやパスワードは？
今回、外部からアクセスされた可能性がある個人情報として、ニトリは次の項目を公表しています。
| 対象区分 | 対象となる情報 |
|---|---|
| 個人会員・商品購入者 | 会員番号、氏名、フリガナ、メールアドレス、住所、電話番号、生年月日、性別 |
| 法人会員 | 会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号 |
| ネット通販の注文データ | ニトリネットおよびECモールのニトリ公式ショップを通じた商品の注文データ |
| 今回の漏えい対象外 | クレジットカード情報、ログインパスワード |
この表に挙げられた情報が、対象者全員について一律に含まれるわけではありません。ニトリは、情報の組み合わせは顧客ごとに異なると説明しています。
例えば、氏名やメールアドレスが対象となっている人と、住所や生年月日などを含む人が同じとは限りません。注文データについても、具体的な情報項目がすべて明らかになっているわけではないため、商品名や配送先などの詳細まで流出したと断定することはできません。
クレジットカード情報は流出していない？
ニトリの11月9日付発表では、クレジットカード情報は今回の漏えい対象に含まれていないと明記されています。
そのため、今回の発表だけを理由に、ニトリで使ったことのあるクレジットカードを全員が直ちに停止・再発行しなければならないという状況ではありません。
ただし、普段から利用明細を確認することは大切です。もし身に覚えのない請求が見つかった場合や、不審なサイトにカード番号を入力してしまった場合には、今回の事件との関係が判明していなくても、カード会社へ速やかに相談してください。
ニトリのログインパスワードも対象外
ログインパスワードについても、今回の漏えい対象には含まれていないと説明されています。
したがって、今回の事件を理由にすべての利用者が一律でパスワードを変更するよう求められているわけではありません。
もっとも、パスワードが流出していなくても、偽メールや偽サイトを通じて新たに盗み取られる危険性はあります。
特に、氏名やメールアドレス、電話番号などが第三者に知られた場合、それらの情報を使って本物の企業から届いたように見せかける詐欺が考えられます。
パスワードをほかのサービスでも使い回している場合は、今回の漏えいの有無とは別に、長く推測されにくいパスワードへの変更や、利用できるサービスでの多要素認証の設定を検討する価値があります。
最大3,762万件は3,762万人の被害確定ではない
ニュースの見出しに大きな数字が並ぶと、それだけの人数の情報がすでに盗まれたと受け取ってしまうかもしれません。
しかし、ニトリが発表したのは、外部からアクセスされた可能性がある個人情報の最大件数です。会員情報、購入者情報、注文データなどの内訳や、重複を除いた実際の対象人数は公表されていません。
また、不正アクセスを確認したことと、対象となるすべての情報が実際に外部へ持ち出されたことを確認したことは別です。今後のログ解析やデータ照合によって、対象件数が変わる可能性もあります。
企業の発表で使われる「漏えいの可能性」「取得を確認」「不正アクセスを確認」といった言葉の違いについては、不正アクセスと情報流出の違いを整理した記事でも詳しく解説しています。
自分が対象か確認する方法｜ニトリからのメールはいつ届く？
ニトリは、今回の対象となる顧客に対し、メールまたは郵送で順次連絡すると発表しています。
一方、11月9日付の公式資料には、通知の開始日時や全対象者への連絡完了予定日までは記載されていません。
そのため、現時点でメールや郵便が届いていないからといって、自分が対象外だと判断することはできません。
通知が届いていない場合はどうする？
まず確認したいのは、ニトリの公式サイトに新しいお知らせが掲載されていないかという点です。ニトリホールディングスは、新たに公表すべき事項が判明した場合、速やかに知らせると説明しています。
現時点では、会員番号やメールアドレスを入力するだけで今回の流出対象かどうかを判定できる専用ページは確認されていません。
また、ニトリネットのマイページで会員情報や注文履歴を確認できることと、今回の漏えい対象かどうかを確認できることは別です。マイページに過去の注文が表示されたからといって、その情報が流出したと判断することもできません。
対象かどうかについて確認したい場合は、公式発表に掲載されている問い合わせ窓口へ相談する方法があります。ただし、調査中のため、個別の対象判定について直ちに回答が得られるとは限りません。
ニトリの公式問い合わせ先
今回の不正アクセスについて、ニトリホールディングスは次の問い合わせ先を案内しています。
株式会社ニトリホールディングス お客様相談室
電話番号：0120-209-993
受付時間：10:00～20:00（平日・土日祝日）
問い合わせ先は2026年11月9日付の公式発表に記載されたものです。
なお、不審なメールに記載された電話番号や問い合わせ先をそのまま使うのは避けてください。本物そっくりの偽サイトや偽の連絡先に誘導される可能性があるため、必ずニトリの公式サイトに掲載された窓口を確認しましょう。
情報流出が心配な場合、今すぐ何をすればいい？
今回の件で、すべてのニトリ利用者に同じ対応が必要になるわけではありません。
大切なのは、どの情報が対象となっている可能性があるかを把握し、それに応じて対処することです。
ニトリ自身も、流出した可能性がある個人情報が、なりすましメールやフィッシング詐欺、不審な電話などに悪用されるおそれがあるとして、注意を呼びかけています。
ニトリ・配送業者を装ったメールに注意する
例えば、ニトリからの配送連絡や会員情報の確認を装うメールが届いた場合、通常の買い物に関する連絡なのか、不正なサイトへ誘導するための偽メールなのかを見分ける必要があります。
「お届け先の再確認が必要です」「会員情報を更新してください」など、実際の取引に関係していそうな内容でも、安易にリンクを開かない方が安全です。
これらは想定される詐欺の例であり、今回のニトリの事件で同じ文面の詐欺が確認されたという意味ではありません。
確認が必要な場合は、メール内のリンクを使わず、自分で開いた公式サイトや公式アプリから注文状況を確認しましょう。
パスワードやカード番号を尋ねる連絡には応じない
ニトリは今回の公式発表で、メールや電話を使ってパスワード、クレジットカード番号、暗証番号などを尋ねることはないと明記しています。
そのため、ニトリを名乗る相手からこれらの情報を求められた場合は、たとえ氏名や住所などを正しく言い当てられても、その場で答えないでください。
流出した可能性がある情報の中には氏名や住所、電話番号などが含まれています。相手がこうした情報を知っていることだけでは、正規の担当者である証明にはなりません。
偽サイトに情報を入力してしまった場合
もし不審なメールのリンク先でパスワードを入力してしまった場合は、そのサイトを使わずに正規のサービスへアクセスし、パスワードを変更してください。
同じパスワードを別のサービスでも使っている場合は、そちらの変更も必要です。パスワードが盗まれると、ニトリ以外のサービスまで不正ログインの対象になる可能性があります。
クレジットカード番号を入力してしまった場合は、カード会社に連絡し、利用状況の確認や必要に応じた停止・再発行について相談しましょう。
単に不審なメールが届いただけの場合と、偽サイトに重要な情報を入力してしまった場合では、必要な対応が異なります。
IPAも個人情報流出後の対処方法を公開
情報処理推進機構（IPA）は2026年10月26日、個人情報が漏えいした場合の対処方法をまとめた案内を公開しています。
氏名、メールアドレス、住所、電話番号などが漏えいした場合には、偽メールや偽SMS、不審電話、郵便物などによる二次被害に注意するよう呼びかけています。
また、IDやパスワード、クレジットカード情報が漏えいした場合は、それぞれ異なる対処が必要になることも説明しています。今回のニトリの発表と照らし合わせる際にも参考になる内容です。
IPA公式：自分の個人情報等が漏えいした際の「対処」と「日頃の対策」
不正アクセスはいつ起きた？原因とニトリの現在の対応
ニトリの公式発表では、不正アクセスが判明するまでの経緯が時系列で示されています。
| 時期 | 確認された内容 |
|---|---|
| 2026年10月中旬～下旬 | ログ解析により、第三者によるアクセスが行われた可能性を確認。詳細は調査中。 |
| 11月6日（金） | 不正アクセスが判明。アクセスを遮断し、外部専門機関と調査開始。 |
| 11月9日（月） | 最大3,762万件の個人情報が流出した可能性を公表。 |
10月中旬から下旬に第三者によるアクセスがあった可能性は示されていますが、その期間が最初の侵入だったのか、いつデータが外部に持ち出されたのかについては、まだ確定していません。
原因や侵入経路は判明している？
11月9日時点では、第三者による不正アクセスがあったことは確認されていますが、具体的な侵入経路や原因は調査中です。
ニトリは脆弱な箇所への対応を実施し、監視体制の強化を完了したと説明しています。ただし、どのシステムのどのような問題が侵入につながったのかについては、詳細を公表していません。
そのため、今回の事件がランサムウェアによる攻撃だったのか、特定のソフトウェアの脆弱性を悪用したものだったのか、身代金の要求があったのかについても、現時点で断定することはできません。
また、流出した可能性がある情報を悪用した二次被害が実際に発生しているかどうかについても、ニトリは調査を継続しています。
個人情報保護委員会や警察への報告は？
ニトリは今回の不正アクセスについて、個人情報保護委員会および警察などの関係機関への報告・相談を進めていると説明しています。
今後は外部専門機関とともに原因を究明し、アクセス制御、認証・権限管理、監視体制などの見直しを進め、再発防止策を実施する方針です。
ただし、正式な調査完了日や最終報告の公表予定日は示されていません。現段階では、侵入原因や実際の流出件数について、今後の発表を待つ必要があります。
ニトリネットや公式アプリは今も使える？
不正アクセスのニュースを見て、ニトリネットでの買い物や公式アプリの利用ができなくなるのではないかと心配する人もいるでしょう。
この点について、共同通信の2026年11月9日付報道では、ニトリからの説明として、インターネット通販と公式アプリは通常どおり利用できると伝えています。
つまり、少なくとも11月9日時点では、今回の不正アクセスによってニトリネットや公式アプリが一律に利用停止となったわけではありません。
ただし、これは11月9日の報道に基づく状況です。今後のシステム対応やサービスの稼働状況に変更があった場合は、その時点の公式案内を確認する必要があります。
また、サービスを通常どおり利用できることと、過去に保存されていた個人情報が今回の不正アクセスの影響を受けていないことは別です。通販が使えるから情報流出の心配はない、という意味ではありません。
過去の購入者や退会した人も対象？補償はある？
何年も前に購入した人は対象になる？
現時点では、今回の対象となる購入期間が公表されていません。
そのため、最近購入した人だけが対象なのか、何年も前の購入情報まで含まれているのかは分かっていません。
過去に一度だけ大型家具を購入した人や、しばらくニトリを利用していない人についても、古い利用履歴だから対象外とは断定できません。保存されていたデータの範囲が明らかになれば、対象者をさらに具体的に判断できるようになると考えられます。
ニトリを退会した人は対象外？
退会済みの利用者についても、今回の公式資料では個別の対象範囲が説明されていません。
一般に、サービスを退会したからといって、過去の注文に関する情報が直ちにすべて削除されるとは限りません。ただし、ニトリが今回どの期間・どの種類の退会者情報を保有していたのかは未公表です。
したがって、すでに退会している人についても「絶対に対象外」とは言えません。今後の対象者への案内で確認する必要があります。
情報流出に対する補償や返金は発表された？
11月9日付の公式発表には、今回の個人情報流出の可能性に関する一律の金銭補償や、具体的な補償額についての案内はありません。
情報流出の可能性がある件数が大きいことだけで、補償金が支払われると決まったわけではありません。また、通常の商品購入に対する返金が一律に実施されるという発表も確認されていません。
今後、個別の被害や対応方針について新たな発表があれば、その内容を確認する必要があります。
今後の発表で確認したいこと
ニトリの今回の発表には、すでに確認された事実と、引き続き調査が必要な事項が混在しています。
今後の状況を判断するうえでは、単に件数が増えたか減ったかを見るだけでなく、実際の流出がどこまで確認されたのか、利用者が取るべき対応に変更があるのかを確認することが重要です。
| 確認事項 | 11月10日朝時点 |
|---|---|
| 流出した個人情報の確定件数 | 調査中 |
| 会員・購入者などの区分別件数 | 未公表 |
| 対象となる購入・登録期間 | 未公表 |
| 不正アクセスの原因・侵入経路 | 調査中 |
| 二次被害の有無 | 調査中 |
| 対象者への通知完了時期 | 未公表 |
| 補償についての具体的な案内 | 未発表 |
これらの情報が新たに公表された場合、対象者の判断や必要な対処方法が変わる可能性があります。
特に、当初の最大件数と最終的な確定件数が異なることは考えられますが、その変化だけを見て被害が拡大した、あるいは縮小したと判断するのは早計です。調査によって重複が整理された場合や、これまで確認できなかったデータが追加された場合など、数字が変わる理由はいくつも考えられます。
ニトリホールディングスは、新たに公表すべき事項が判明した場合、速やかに知らせるとしています。最新の正式発表はニトリホールディングスの重要なお知らせ一覧から確認できます。
まとめ｜ニトリ利用者が今確認しておきたいこと
今回の不正アクセスでは、ニトリホールディングスが管理するシステムに保存されていた最大3,762万件の個人情報について、外部流出の可能性が公表されました。
対象には個人会員だけでなく、商品購入者や法人会員、ネット通販の注文データも含まれています。ただし、すべての利用者が対象と確定したわけではなく、購入期間や個人ごとの影響範囲については調査中です。
クレジットカード情報とログインパスワードは今回の漏えい対象外と発表されていますが、氏名や連絡先などを悪用した偽メールや不審電話には引き続き注意が必要です。
対象者にはメールまたは郵送で順次連絡するとされているため、通知がまだ届いていない人も、公式のお知らせを確認しておきましょう。不審な連絡が届いた場合は、その連絡に書かれたリンクや電話番号を使わず、公式サイトから確認することが大切です。
現時点で重要なのは、最大3,762万件という数字だけで被害を判断するのではなく、自分が対象となる可能性があるか、何の情報が含まれているか、必要な対処は何かを分けて確認することです。