ニトリに不正アクセス 法人会員は電話の本人確認に使う3項目も対象

パスワードが漏れていないなら、ニトリの法人会員は何もしなくてよいのでしょうか。そうとは言えません。ニトリが電話で法人会員を本人と見なすときに使う3つの項目が、そろって流出の可能性がある情報に入ったからです。

株式会社ニトリホールディングスが11月9日に出したお知らせによると、同社が管理するシステムに不正なアクセスがあり、最大3,762万件の個人情報が外に出た可能性があります。

3,762万件には、会社の登録も入っている

不正なアクセスが分かったのは11月6日（金）でした。ニトリはすぐにアクセスを断ち、外部の専門機関と調べ始めました。そのあとログを調べると、10月中旬から下旬にも第三者が入っていた可能性が出てきました。どこから入られたのか、どこまで届いたのかは、まだ調べている途中です。

流出の可能性がある情報は、3つのまとまりに分かれます。

出典：ニトリホールディングスの11月9日のお知らせ。情報の組み合わせは人によって違う。

クレジットカード情報とログインパスワードは、対象に入っていません。対象の人には、メールか郵送で順に連絡が届きます。

とくに2行目は、ほとんど会社の名簿でしょう。会社名と部署、代表者、担当する人の名前と連絡先が、ひとつの登録にまとまっているからです。3行目も見落とせません。モールの自社のアカウントで買っていても、相手がニトリの公式ショップなら、注文のデータはニトリの側にも残っていたことになります。

電話の本人確認に使う3つが、そろってしまう

ニトリ法人会員規約によると、ポイントの照会や登録の変更、退会などのとき、ニトリは本人かどうかを、ニトリネットへのログインか、マイページの会員証の提示で判断します。電話なら、会員番号と登録した電話番号、それに口で伝える担当者の名前の3つで、法人会員だと判断するという決まりです。

この3つは、どれも今回の流出の可能性がある項目に入りました。ログインにはパスワードが要りますが、そのパスワードは対象の外です。ところが電話の確認だけは、流出した情報で条件がそろってしまいます。

規約には、必要なら本人確認の書類を求めることがある、とも書かれていました。電話ひとつで何でも通るわけではないはずです。それでも、法人会員の側では、登録の中身やポイントに覚えのない動きがないかを、しばらく見ておく必要がありそうです。

逆の場面でも同じです。ニトリを名乗る電話やメールが、会員番号や担当者の名前を正しく言ってきても、それだけでは本物とは言えません。会員番号は、もう知っている人が本人だと示す手がかりにはならない、とみています。

担当者を替えると、登録が増える

規約によると、法人会員として入るのは会社などで、実際に使うのは、会社が認めた役員や社員の「ご担当者」です。担当者の登録は書き換えられず、人を替えるときは新しく会員登録をし直します。前の担当者の会員番号は使えなくなり、ポイントも消えます。

つまり、担当者が何度か替わった会社には、前の人の名前が入った登録が残っているかもしれません。前の担当者の分まで含めて考えておくと、あとで慌てずに済みます。

3社のお知らせを並べると

家電や家具、日用品の通販では、11月に入って大きなお知らせが続きました。会社の目で見ると、違いは次の表のとおりです。

出典は各社のお知らせ（2026年11月10日に確認）。3社の数は数え方が違うので、数の大きさはそのまま比べられません。

先に見てほしいのは「パスワード」と「会社の登録」の2行です。パスワードが対象の外なのはニトリだけで、会社の登録をはっきり書いたのもニトリだけでした。ノジマの件やアイリスプラザの件で真っ先に見た、同じパスワードの使い回しは、ニトリについては急がなくてかまいません。そのかわり、会社名と担当者の名前を知った相手からの連絡に備える、という向きに変わります。

会員でない購入者が入る点は、アイリスプラザと同じです。会員になっていない会社でも、ニトリで買ったことがあれば、関係がないとは言い切れません。

ただ、まだ分からないことも残ります。入られた経路、法人会員の件数、使えなくなった登録や退会した会員まで件数に入るのか、どのECモールが対象か。どれも、11月9日のお知らせには書かれていません。表のとおり、アイリスプラザの第2報では退会した会員も対象に入っていました。

影響する会社、しない会社

• ニトリ法人会員に入っている会社は、個人事業主も含めて、対象になりえます。入会の手数料も年会費もかからず、ポイントは店のレジで会員証を見せても付く仕組みです。ネットで買っていなくても、登録は残っています。
• 社員が個人の会員として、会社のメールアドレスや会社の住所で登録していれば、会社あてに届く連絡に使われうる情報が入ります。
• ECモールのニトリ公式ショップで、会社のアカウントから注文した会社も、注文のデータが対象に入りえます。
• ニトリグループで買ったことも、登録したこともない会社は、今回の件とは関係しません。ただ、ニトリを名乗る偽の連絡は、だれにでも届きえます。

法人会員の担当者と進める手順

1. 総務や購買、店や拠点の担当に、ニトリの法人会員に入っているかを聞きます。番号は担当者ごとに出るので、いまの担当者の数だけ拾います。前の担当者の登録も、分かるところまで書き出します。
2. いまの担当者にニトリネットのマイページを開いてもらい、会社名や代表者、連絡先の登録と、ポイントの履歴に、覚えのない変更や利用がないかを見ます。
3. 購買と経理の窓口に、ニトリを名乗る連絡が会員番号や担当者の名前を言っても、それだけで本物と決めないよう伝えます。たしかめるときは、お知らせに載ったお客様相談室（0120-209-993）にかけ直します。
4. 法人会員だけが使える掛け売りの「ペイド」で払っている会社は、支払先が変わったと伝えるような連絡を、いつもの請求の流れと照らしてから扱います。
5. 辞めたり異動したりした人の登録が残っていれば、どう片づけるかをお客様相談室に聞きます。規約では、担当者が会社に所属しなくなると会員の資格を失います。ただ、資格を失うことと、登録のデータが消えることは別の話です。退会も、担当者が届け出る決まりになっています。

番号と名前は、本人のしるしにならない

会員番号と担当者の名前は、今回の件で、知っていても本人とは言えない情報になりました。困るのは、ニトリとの電話だけではありません。取引先との電話でも、会員番号や顧客番号、担当者の名前だけで相手を本人と見なしていないでしょうか。

自社の窓口が電話で何を聞いて本人と判断しているかを、一度書き出してみる。ニトリの件は、その見直しのよいきっかけになります。