ニトリで最大3,762万件の個人情報流出か　法人会員の担当者情報も、なりすましに警戒

　ニトリホールディングスは11月9日、同社が管理するシステムへの第三者による不正アクセスにより、サーバー上に保有する個人情報が最大3,762万件外部に流出した可能性があると発表した。ログインパスワードとクレジットカード情報は、流出した可能性のある情報に含まれていないという。

　同社によると、不正アクセスが判明したのは11月6日。直ちに当該アクセスを遮断し、外部の専門機関と連携して影響範囲の調査を始めた。その後のログ解析などで、10月中旬から下旬にも第三者によるアクセスが行われた可能性を確認したといい、詳しい経緯を調べている。

　流出した可能性がある情報は、対象者ごとに組み合わせが異なる。個人会員とニトリグループでの商品購入者では、会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別。法人会員では、会員番号、会社名、部署名、代表者氏名、会社の住所と電話番号、担当者の氏名、メールアドレス、電話番号が挙がっている。対象サービスは、ニトリネットと、ECモールのニトリ公式ショップを通じた商品の注文データだ。

　件数については、引き続きログ解析とデータ照合を進めており、今後の調査で変わる可能性があるとしている。原因と侵入経路は現時点で明らかにされておらず、外部の専門機関とともに、影響範囲や二次被害の有無を含めて調べている。

　同社は、攻撃者からのアクセスの遮断を続けるとともに、脆弱箇所への対応と監視体制の強化を完了したと説明する。対象となる顧客には、メールまたは郵送で順次連絡する方針。個人情報保護委員会と警察などの関係機関には、報告・相談を進めている。

　あわせて、漏えいした可能性のある情報が、なりすましメールやフィッシング詐欺、不審な電話などに悪用されるおそれがあるとして、注意を呼びかけた。同社や配送事業者、ECモールなどを装った連絡には十分に注意し、身に覚えのないリンクや添付ファイルを開かないよう求めている。

　今後は調査結果を踏まえ、アクセス制御、認証・権限管理、監視体制などを見直し、再発防止策を実施するとしている。