ニトリホールディングスは11月9日、同社が管理するシステムへの不正アクセスにより、最大3762万件の個人情報が外部に流出した可能性があると発表しました。対象には商品購入者や個人会員だけでなく法人会員も含まれており、公式ECサイト「ニトリネット」や外部ECモールのニトリ公式ショップを通じた商品の注文データも、流出した可能性がある情報に含まれています。10月中旬から下旬にかけての不正アクセスが、11月6日になって発覚した経緯には確認すべき点が残っています。
ニトリ、最大3762万件の情報流出を公表
ニトリホールディングスが11月9日に発表した内容によると、同社が管理するシステムへの不正アクセスにより、最大3762万件の個人情報が外部に流出した可能性があります。発覚したのは11月6日で、同社はこの日に不正アクセスを確認し、攻撃者からのアクセスを遮断しました。その後のログ解析により、10月中旬から下旬にかけても第三者によるアクセスがあった可能性が判明したといいます。発覚と実際の侵入時期の間には、数週間単位のずれがあったことになります。
流出の可能性がある情報は、対象者によって組み合わせが異なります。ニトリグループの商品購入者および個人会員については、会員番号、氏名、メールアドレス、住所、電話番号、生年月日、性別が対象です。法人会員については、会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号に加え、担当者個人の氏名やメールアドレス、電話番号も含まれます。公式ECサイト「ニトリネット」や外部ECモール内のニトリ公式ショップを通じた商品の注文データも、流出の可能性がある対象に含まれています。
一方で、ログインパスワードとクレジットカード情報はこの対象から除外されています。情報の組み合わせは対象者によって異なり、個人会員については会員番号や氏名、住所、電話番号などの基本情報が中心となる一方、法人会員では会社名や担当者個人の氏名、連絡先までが対象に含まれる点が特徴です。どの情報がどの個人に紐づくかは現時点で公表されておらず、対象者への連絡はメールまたは郵送で順次行われる方針です。侵入経路や影響範囲の全容は現在も調査中で、同社は漏えい件数が今後変わる可能性があると自ら述べています。3762万件という数字は確定値ではなく、現時点の調査結果に基づく上限として示されたものである点は押さえておく必要があります。
対応状況と呼びかけの内容
ニトリホールディングスは、すでに脆弱だった箇所への対応と監視体制の強化を完了したとしています。今後は外部専門機関と連携しながら、原因究明と二次被害の有無について調査を続ける方針です。個人情報保護委員会や警察などへの報告・相談も並行して進めているといいます。
同社が注意を呼びかけているのは、流出した情報がなりすましメールやフィッシング詐欺、不審な電話などに悪用される懸念です。ニトリや配送事業者を装った連絡に注意するよう求めています。パスワードやクレジットカード情報が対象外とされている点は、被害の性質を考える上で参考になる情報です。ただし、氏名や住所、電話番号、メールアドレスといった組み合わせだけでも、なりすましや標的型のフィッシングに利用される余地はあります。
今回確認した発表の範囲では、不正アクセスの手口や侵入経路の詳細、どの会員データベースが対象になったかという具体的な技術的経緯は明らかにされていません。発覚した11月6日の時点でアクセスは遮断されたものの、10月中旬から下旬にさかのぼる侵入の可能性はその後のログ解析によって初めて判明したものであり、調査がどこまで進んでいるのかも明確ではありません。調査が進む過程で件数や対象範囲が見直される可能性がある点を踏まえると、現時点の発表は暫定的な状況報告として受け止めるのが妥当です。公表されている情報だけでは、不正アクセスの技術的な全容を評価するには材料が不足していると言えます。
注目ニュース
政府、サイバー攻撃対策に予備費100億円
政府は11月6日、相次ぐ情報漏えい被害を受けてサイバーセキュリティに関する関係閣僚会議を開き、緊急対策パッケージを決定しました。令和8年度予算の予備費から100億円の支出を閣議決定し、高度な専門技術を持つ「トップガン人材」チームを11月中に設立する方針です。対策は4本柱で構成され、被害企業の初動対応を支援する「官民サイバー救援隊」の創設や、通信事業者によるアクセス抑止策（サイトへの接続を強制遮断する「ブロッキング」）の検討も盛り込まれました。憲法が保障する「通信の秘密」との整合性など、法的な課題も残っているとされています。
Synergy Research、クラウド市場の成長率が過去最高に
米Synergy Research Groupの調査によると、2026年第3四半期のクラウドインフラ市場は前年同期比55％の成長となり、過去最高を更新しました。市場規模は1,680億ドル（約26兆5,000億円）です。シェアはAWSが2ポイント後退して26％、Microsoft Azureが1ポイント下がって19％となった一方、Google Cloudは1ポイント上がって16％になりました。AIワークロードに特化した「ネオクラウド」と呼ばれる新興勢力の台頭が目立ち、今年サービスを開始したばかりのSpaceXSIが早くも収益面でトップ10入りしたといいます。
NTTドコモ、再開後4時間半でサービス再停止
NTTドコモは11月6日の記者会見で、同月4日に発生した不正アクセスによる情報流出の経緯を説明しました。大量アクセスを検知してサービスを停止した後、攻撃経路を遮断して再開しましたが、その後の検証で情報流出の疑いが強まり、約4時間半後に再びサービスを停止したといいます。再開後に異常なアクセスはなかったとする一方、復旧ルールを見直す考えを示しました。今回の不正アクセスでは、情報流出が29万件に上るとされています。
Google、AIエージェント基盤をCNCFへ寄贈
Googleは、Kubernetes上でAIエージェントを効率的に動かすためのソフトウェア「Agent Substrate」と「gVisor」を、Cloud Native Computing Foundation（CNCF）に寄贈したと発表しました。AIエージェントは推論結果やAPI応答、人間の承認待ちでアイドル状態になる時間が90〜95％を占めるとGoogleは説明しており、Agent Substrateはアイドル時の状態をスナップショットとして保存し、再開時に高速復帰させる仕組みで、従来の10倍の密度でAIエージェントを実行できるとしています。Google CloudはGKE上での正式サービス提供も開始しました。
編集後記：発覚と侵入の時期がずれる構図
ニトリの発表で気になるのは、6日に発覚した不正アクセスが、調査の過程で10月中旬から下旬という別の期間にも及んでいた可能性が浮かんだ点です。侵入が始まった時期と発覚した時期の間にずれがあったという事実は、同社の発表からそのまま読み取れます。ただし、なぜその期間の侵入が当初は検知されなかったのかという経緯は、今回の発表範囲では説明されていません。件数が「最大3762万件」という上限値で示されていることも含め、調査の進行によって内容が更新される可能性がある段階の発表だと捉えておくのが妥当だと思います。