ニトリ不正アクセス（2026年11月）最大3,762万件の情報漏えい：漏れた情報・利用者の注意点と、同じ週に公表されたシェアフル・ドコモ・アララ経由の流出

株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムへの不正アクセスにより、最大3,762万件の個人情報が外部に流出した可能性があると公表しました。不正アクセスの判明は11月6日で、その後のログ解析で10月中旬から下旬にも第三者によるアクセスの可能性が確認されています。対象は個人会員と商品購入者、法人会員、ECモールのニトリ公式ショップでの注文データです。ログインパスワードとクレジットカード情報は含まれていないとされています。

この記事では、ニトリホールディングスの公表文（11月9日付PDF）だけを根拠に、漏えいした可能性のある情報と含まれていない情報、時系列、利用者と法人会員が確認すべきことを整理します。後半では、同じ週に公表された8件の事案と並べます。シェアフル（最大約750万件）、NTTドコモ（最大約30万件）、エディオン、チームスピリット、スマートニュース、技研製作所、そしてアララ経由の三井住友銀行と松井証券です。そのうえで、企業が自社に置き換えて確認すべき点をまとめました。侵入経路や原因は公表されていないため、推測は書いていません。記事の内容は2026年11月10日時点の公表情報に基づきます。

ニトリ不正アクセスの概要：11月6日に判明、最大3,762万件

全体像を1枚にまとめます。件数と項目は、11月9日の公表文の表現をそのまま使っています。

件数には「最大」が付き、「流出した可能性」という表現です。公表文には、影響範囲と件数はログ解析とデータ照合を続けており、今後の調査により変更となる可能性があると書かれています。2026年に国内で公表された事案で件数が大きかったのは、ソースネクストの22,519,960件、焼肉きんぐの10,788,963件、タイムズカーの6,628,007件です。ニトリの最大3,762万件は、これらを上回ります。

漏えいした可能性のある情報と、含まれていない情報

利用者が最も知りたいのは、何が漏れた可能性があり、何が含まれていないかです。公表文の記載を対象者の区分ごとに分け、含まれていない情報を右列にまとめます。公表文には「情報の組み合わせは、お客様ごとに異なります」とあり、全員のすべての項目が対象という意味ではありません。

個人会員の項目は、会員番号と氏名に住所・電話番号・生年月日・性別がそろう組み合わせです。パスワードやカード情報が含まれていなくても、この組み合わせは本人確認の答えに使われる情報です。ニトリや配送事業者をかたる電話やSMSで、本人らしく見せるための材料になります。公表文も「当社や配送事業者、ECモール等を装った連絡」への注意を呼びかけています。

法人会員の情報が含まれている点は、個人向けの会員アプリ流出とは違う部分です。会社名と部署名、担当者の氏名とメールアドレスの組み合わせは、取引先を装った請求書メールや、担当者あての標的型メールに使える情報です。法人で登録している場合は、個人の注意喚起に加えて、担当者への周知が必要です。

時系列：10月中旬から下旬のアクセスの可能性、11月6日に判明、9日に公表

公表文の経緯表から読み取れる流れを並べます。不正アクセスが始まった日時と侵入経路は公表されていません。

判明から公表まで3日で、週末を挟んで週明けに件数と項目を出しています。一方で、ログ解析で見つかった10月中旬から下旬のアクセスが判明日より2〜3週間前であることから、最初のアクセスから検知までに時間が空いていた可能性があります。この点は公表文に「詳細は引き続き調査中」とあり、確定していません。

ニトリの利用者・法人会員が今確認すること

公表文の案内に沿って、利用者が取るべき行動をまとめます。

• ニトリ・配送事業者・ECモールを名乗る連絡を疑う：公表文は「当社からメールや電話でパスワード、クレジットカード番号、暗証番号等をお伺いすることはありません」としています。身に覚えのないリンクや添付ファイルは開かず、不審な連絡を受けた場合は記載の連絡先には返信せず、公式サイトの窓口に確かめてください。
• パスワード変更は公式には案内されていない：ログインパスワードは含まれていないとされています。ただし、同じパスワードをほかのサービスでも使っている場合は、この機会に使い回しをやめておくと安全です。
• 退会済みでも対象になりうる：公表文は「ニトリグループの個人会員情報及びニトリグループでの商品の購入者情報」を対象としており、現在の会員に限るとは書かれていません。過去に購入した方も、連絡が届く可能性を前提に注意してください。
• ECモールで買った方も対象：ニトリ公式ショップをECモール経由で利用した注文データが含まれています。ニトリの会員でなくても、モールの注文履歴にニトリ公式ショップの注文があれば対象になりえます。
• 法人会員は担当者に周知する：会社名・部署名・担当者名・メールアドレスの組み合わせが対象です。取引先や経理を装ったメールへの注意を、登録担当者だけでなく部署内で共有してください。
• 問い合わせは専用窓口へ：お客様相談室 0120-209-993（平日・土日祝 10:00〜20:00）と、公式サイトの問い合わせフォームが案内されています。

電話番号と住所が対象に含まれるため、メールよりSMSや電話、郵便のほうが本物らしく見えることがあります。「配送の再手配」「会員情報の確認」といった連絡が来ても、届いたリンクや折り返し先は使わず、公式サイトから確かめるのが確実です。

公表されていないこと：侵入経路・確定件数・二次被害

11月10日時点で公表されていないことを分けておきます。報道やSNSで語られている推測と、公式の発表を混同しないためです。

• 侵入経路と手口：公表文は「脆弱箇所への対応を実施し」としていますが、どの脆弱箇所かは書かれていません。原因と侵入経路は外部専門機関と調査中です。
• 確定した件数と区分ごとの内訳：「最大3,762万件」は現時点の数で、個人会員・法人会員・注文データの内訳は公表されていません。「件数」であり「人数」ではない点にも注意が必要です。
• 不正アクセスが始まった日：「10月中旬から下旬」のアクセスは可能性として記載され、開始日と期間は調査中です。
• 二次被害：二次被害の有無は「調査を継続」とあり、確認された・されていないのどちらも書かれていません。

この記事では、これらの点について推測を書いていません。新たな公表があれば、その時点の公表文に基づいて更新します。

同じ週に公表された大規模流出：シェアフル・ドコモ・エディオンなど7事案の比較

ニトリの公表があった11月3日から9日の1週間には、ほかにも大きな事案の公表が続きました。各社の公表文で確認できたものだけを、公表日順に並べます。件数と項目は公表文の表現のままで、報道だけの数値は載せていません。

アララ経由の2件は、アララ株式会社が11月2日の第2報で公表した一連の事案の一部です。第2報では、契約企業の環境にあるサーバー97台（最大約380社）から10月28日から31日にかけてデータが持ち出され、メールアドレスは約77百万件（精査中）とされています。アララは10月31日にサービスの提供をすべて停止しました。三井住友銀行と松井証券のほかにも、家電量販店やレジャー予約サイトなどが影響を公表していますが、この記事では公表文を直接確認できた2社だけを載せています。

シェアフルの事案は、発生が11月4日23時30分頃、検知が翌5日9時45分頃、遮断が同日14時頃と、公表文に時刻まで書かれています。検知から遮断まで約4時間です。一方で、持ち出された可能性のある情報に銀行口座情報と顔写真のURL、在留資格関連情報が含まれており、スキマバイトの登録者という性質上、項目の重さはニトリより大きいといえます。

11月第2週の事案に共通する3つの特徴

9事案を並べると、公表文の書き方から共通する特徴が見えてきます。

1. 会員データベースのまとまった範囲が、一度に持ち出されている

ニトリの最大3,762万件、シェアフルの最大約750万件、ドコモの最大約30万件は、いずれもサーバー上の会員情報や契約情報のまとまった範囲が対象です。一部の会員だけが影響を受けた事案ではありません。9月下旬からのタイムズカー（6,628,007件）、焼肉きんぐ（10,788,963件）と同じ型で、攻撃者が会員データベースをまとめて読み出す形が続いています。

2. 本体のデータベース以外から漏れている

エディオンは、顧客データベース本体ではなく、ECサイトのログファイルを置いたサーバー領域から漏れました。ログに氏名や注文情報、カードの有効期限が残っていたためです。チームスピリットは開発用サーバーから漏れ、原因を「設定と情報管理の不備」と明記しています。本体を守っていても、ログ・開発環境・委託先に残した複製が出口になります。

3. 自社のシステムが無傷でも、委託先経由で顧客情報が漏れる

三井住友銀行と松井証券は、自社システムへの不正アクセスを確認していません。それでも、メール配信を委託したアララのサーバーから宛先が持ち出され、顧客への説明と窓口の設置が必要になりました。三井住友銀行の公表文には、10月28日に委託先から「漏えいは確認されていない」と報告を受け、11月2日に漏えい確認の報告を受けたという経緯が書かれています。委託先の「影響なし」は、最初の報告では確定しません。

企業が自社に置き換えて確認する4つの教訓

内閣官房国家サイバー統括室は11月5日、事業者向けに「個人情報の漏えい等につながる不正アクセスへの対策について」を公表しました。文書は、相次ぐ事案の原因を「自組織又は委託先における基本的な対策が十分でなかった」事例としています。挙げられているのは、モバイルアプリ開発時の対策不足、ウェブサイト等の設定不備、サポートが終了したソフトウェアや既知の脆弱性が未対策のソフトウェアの継続使用です。攻撃者については、国内のウェブサイト等を標的に大規模な調査を行い、その調査や侵害にAIを使用している可能性が高いと述べています。これまでの脆弱性診断で低く評価されたリスクでも、組み合わされることで侵入の原因になった可能性のある事例があるとも指摘しています。この文書の対策例と今週の事案を合わせて、企業が確認すべき点を4つに絞ります。

1. インターネットに公開している資産を棚卸しし、不要な入口を閉じる

統括室の文書は、公開された管理画面やデバッグ用機能、開発・検証環境、データベース管理機能が入口になった事例を挙げています。対策例として、ASM（Attack Surface Management）などで外部から見える資産を探索し、管理台帳と突き合わせることを挙げています。チームスピリットの開発用サーバー、エディオンのログ領域は、この本体以外の入口に当たります。自社で「公開しているつもりのない」サーバーやエンドポイントがないか、外部からの視点で確かめることが最初の対策です。

2. 使っているソフトウェアの構成を把握し、悪用が確認された脆弱性から直す

文書は、OSやフレームワーク、ライブラリの構成情報を把握し（SBOMやSCAの活用）、米CISAのKEVカタログなど実際に悪用が確認された脆弱性を優先して確認するよう求めています。アララは原因を「Webサーバーの脆弱性およびシステム環境における問題」、エディオンは「システムの脆弱性を突いた不正アクセス」としています。どのソフトウェアのどのバージョンを使っているかが分からなければ、新しい脆弱性が公表されても自社への影響を判断できません。

3. 本体以外に残る複製（ログ・開発環境・委託先）を洗い出し、持たない・残さない

エディオンのログファイルには、氏名や注文情報、カードの有効期限が記録されていました。本番のデータベースだけを守る設計では、ログや開発用のコピー、委託先に預けた配信用リストが見落とされます。ログに個人情報を残さない、開発環境では本番データを使わない、委託先に渡す項目を配信に必要な最小限にする、という3点を、システムごとに確認してください。

4. 委託先の「影響なし」を確定扱いにせず、自社の説明責任を前提に備える

三井住友銀行の経緯は、委託先の最初の報告が後から覆る典型です。松井証券は、委託先には配信用のメールアドレスしか渡していなかったため、漏えいの範囲をメールアドレスのみに限定できました。委託先に預ける項目を最小限にしておくことは、事故が起きたときに自社が顧客に説明する範囲を小さくすることでもあります。委託先からの報告を受けたら、自社の顧客に向けた公表文と窓口を用意する準備を、確定を待たずに始めるのが現実的です。

よくある質問

Q1. ニトリの会員ではなく、ECモールで一度買っただけでも対象になりますか？

対象になりえます。公表文は「ECモールのニトリ公式ショップを通じて当社商品をご注文いただいたお客様の注文情報」を対象に含めています。対象者にはメールまたは郵送で順次連絡するとされているので、ニトリからの連絡が届くかどうかで確認できます。届いた連絡が本物かどうかは、記載の連絡先ではなく公式サイトの窓口（0120-209-993）で確かめてください。

Q2. クレジットカードは止めたほうがよいですか？

公表文では、クレジットカード情報は流出した可能性のある情報に含まれていないとされています。カードの停止は公式には案内されていません。ただし、氏名・住所・電話番号・生年月日が対象のため、カード会社を装った電話やSMSで番号や暗証番号を聞き出そうとする連絡には注意が必要です。カード会社がこれらを電話で聞くことはありません。

Q3. 「最大3,762万件」は、3,762万人という意味ですか？

違います。公表文の単位は「件」で、同じ人が個人会員と購入者の両方に登録されている場合や、複数の注文データがある場合は重複して数えられている可能性があります。「情報の組み合わせは、お客様ごとに異なります」とも書かれており、人数は公表されていません。

Q4. 自社がアララなどのメール配信サービスを使っています。何から確認しますか？

まず、委託先に渡している項目の一覧を確認してください。メールアドレスだけか、氏名や会員番号、属性情報まで渡しているかで、漏えい時の説明範囲が変わります。次に、委託先からの報告が「現時点で確認されていない」なのか「確認した結果なかった」なのかを区別し、前者なら続報を前提に自社の公表文の準備を進めます。委託先経由の事案の全体像は委託先経由の情報漏えい 影響企業・自治体一覧で整理しています。

参考情報（一次情報）

• 株式会社ニトリホールディングス「当社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年11月9日）
• シェアフル株式会社「不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」個人ユーザー向け・企業向け（2026年11月9日）
• 株式会社NTTドコモ「当社サーバーへの不正アクセスによるお客さま情報流出に関するお知らせ」第一報〜第四報（2026年11月5日〜9日）
• 株式会社エディオン「当社ECサイトへの不正アクセスによる個人情報漏洩の可能性に関するお詫びとお知らせ」（2026年11月6日）
• 株式会社チームスピリット「不正アクセスによる情報漏えいに関するお詫びとお知らせ」（2026年11月6日）
• スマートニュース株式会社「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年11月6日）
• 株式会社技研製作所「不正アクセスによる情報漏えいのおそれに関するお知らせ」（2026年11月9日）
• アララ株式会社「『アララメッセージ』への不正アクセスによる情報流出およびサービス停止について（第2報）」（2026年11月2日）
• 株式会社三井住友銀行「メール配信委託先への不正アクセスによる情報漏えいについて」（2026年11月5日）
• 松井証券株式会社「外部委託先への不正アクセスによるお客様のメールアドレス漏えいについて」（2026年11月5日）
• 内閣官房国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について」（2026年11月5日）

AEVUSの支援：公開システムの弱点を攻撃者の視点で確認する

今週の事案の多くは、侵入経路が公表されていないか、「脆弱性」「設定の不備」とだけ書かれています。国家サイバー統括室が求めているのは、公開資産の棚卸しと、悪用が確認された脆弱性からの対処という基本の徹底です。AEVUSでは、Webアプリケーション脆弱性診断でECサイトや会員向けWebの弱点を洗い出します。ペネトレーションテストでは、管理画面や開発環境、ログ領域など「本体以外」からの侵入経路を攻撃者の手順で確かめます。会員データベースを一括で読み出されない設計になっているか、委託先に渡した項目は最小限かといった点も、診断の結果と合わせて整理します。

まとめ

• ニトリホールディングスは11月9日、最大3,762万件の個人情報が流出した可能性を公表。判明は11月6日で、10月中旬から下旬のアクセスの可能性も確認。パスワードとカード情報は含まれていない。
• 対象は個人会員・購入者（氏名・住所・電話番号・生年月日など）、法人会員（会社名・担当者の連絡先）、ECモール経由の注文データ。退会者やモールだけの利用者も対象になりうる。
• 利用者は、ニトリ・配送事業者・ECモールを装う連絡を疑い、問い合わせは公式窓口 0120-209-993 へ。法人会員は担当者への周知を。
• 同じ週にシェアフル（最大約750万件）、ドコモ（最大約30万件）、エディオン、チームスピリット、技研製作所、アララ経由の三井住友銀行・松井証券が公表。会員DBの一括持ち出し、本体以外（ログ・開発環境）からの流出、委託先経由の3つが共通点。
• 企業は、国家サイバー統括室の11月5日文書に沿って、公開資産の棚卸しと不要な入口の閉鎖、ソフトウェア構成の把握と悪用済み脆弱性の優先対処、本体以外に残る複製の削減、委託先の「影響なし」を確定扱いにしない体制を確認する。

この記事は2026年11月10日時点の各社公表文に基づいています。ニトリの続報（侵入経路、確定件数）が公表された場合は、公表文に基づいて更新します。

関連記事

• 【2026年11月版】サイバー攻撃トレンドレポート｜ノジマ・@cosme・Cuenote FCなど国内事案
• ECサイトのサイバー攻撃事例【2026年版】カード情報漏えい・不正アクセスの実態と対策
• タイムズカー不正アクセス事案（2026年9月）約663万件の情報漏えい：時系列・侵入経路・企業が学ぶ5つの教訓
• 焼肉きんぐアプリ不正アクセス（2026年10月）の漏れた情報と企業が学ぶ教訓
• 不正アクセスの事例【2026年版】手口・被害額・再発防止策まとめ