Signal
📡 Signal｜ニトリに不正アクセス、最大3,762万件の個人情報が流出の可能性
ニトリHDが自社システムへの不正アクセスを公表。会員・購入者の氏名や住所など最大3,762万件が流出した可能性があり、10月中旬から侵入の可能性もある。
ニトリホールディングスは11月9日、自社が管理するシステムに第三者の不正アクセスがあり、サーバー上の個人情報が最大3,762万件流出した可能性があると公表した。不正アクセスの判明は11月6日で、同社はその日のうちにアクセスを遮断した。ログインパスワードとクレジットカード情報は、流出した可能性のある情報に含まれていない。
家具・日用品大手が持つ会員と購入者の台帳が、まとめて外へ出た可能性がある。国内ではこの秋、損保・小売・サービスの漏えい公表が続いているが、3,762万件は桁が一つ違う。読者の手元に今週届くかもしれないのは、ニトリや配送業者を名乗るメールや電話だ。
流出した可能性があるのは「名前と連絡先の束」
公表文が挙げた対象は3つの層に分かれる。
- 個人会員とニトリグループでの商品購入者: 会員番号、氏名 (フリガナを含む)、メールアドレス、住所、電話番号、生年月日、性別
- 法人会員: 会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号
- 注文データ: ニトリネットと、EC モールのニトリ公式ショップを通じた注文
情報の組み合わせは客ごとに異なる、と同社は書いている。3,762万件は「件数」であって人数ではない。同じ人が会員情報と注文データの両方に現れれば、それぞれ1件に数えられうる。何人が影響を受けたかは、公表文からは読み取れない。
パスワードとカード番号が外れているのは救いだが、残った項目はなりすましに十分な材料だ。氏名・住所・電話番号・生年月日がそろい、しかも「ニトリで何を買ったか」の注文データが付けば、実在の購入履歴に触れる偽の配送連絡や返金案内を作れる。同社が公表文で、自社・配送事業者・EC モールを装った連絡への注意を呼びかけているのはこのためだ。
判明の3週間前から入られていた可能性
経緯の表で、同社は11月6日の判明後のログ解析により、10月中旬から下旬にも第三者のアクセスがあった可能性を確認したとしている。侵入の始まりから気づくまで、最大で3週間ほど空いていたことになる。原因と侵入経路は外部の専門機関と調査中で、件数と影響範囲も「今後の調査により変更となる可能性がある」と断っている。
同社は2022年9月にも、スマートフォンのニトリアプリで不正ログインを公表している。このときは他のサービスから流出した ID とパスワードを使うリスト型攻撃とみられ、対象は約13万2,000の ID だった。利用者のパスワードが使い回されたことが入口で、会社のシステムそのものが破られたわけではなかった。今回は「当社が管理するシステム」への不正アクセスで、件数は前回のおよそ285倍になる。
一つの台帳に集まった国内顧客
ニトリの国内店舗はニトリ604店、デコホーム192店、島忠52店などで、会員証・アプリ・EC・EC モールの公式店をひとつのグループで束ねてきた。会員制度の統合は買い物を便利にするが、同時に、一か所が破られたときに失われる台帳を大きくする。生活必需品の小売では、顧客の住所と電話番号は配送のために必ず持つ情報で、持たずに済ませる選択肢がほとんどない。
この件はニトリ一社の不手際に閉じない。会員基盤を一つにまとめる小売・サービスの設計そのものが、攻撃者にとって費用対効果の高い標的になっている。
次に見るもの
確認先は同社の「重要なお知らせ」のページで、調査の続報として①侵入経路②件数の確定値③二次被害の有無が出るかを見る。対象者へのメール・郵送の連絡はこれから順次始まる。同社は個人情報保護委員会と警察への報告・相談を進めているとしており、委員会側が指導や勧告を公表するかどうかも次の節目になる。
ことば
- リスト型攻撃 — 他のサービスから漏れた ID とパスワードの組を、そのまま別のサイトに試す手口。パスワードを使い回す利用者が多いほど成功しやすく、2022年のニトリアプリの件もこの手口とみられた。
- 個人情報保護委員会 — 個人情報保護法を所管する国の機関。一定規模以上の漏えいは事業者に報告義務があり、委員会は調査のうえ指導や勧告を出すことがある。
🔗 一次ソース
