ニトリホールディングスは11月9日、自社システムへの不正アクセスで、個人会員や商品の購入者、法人会員の情報が最大3,762万件外部に流出した可能性があると発表した。氏名や住所、電話番号、生年月日が含まれる一方、ログインパスワードとクレジットカード情報は対象に入っていない。
ニトリで家具を買ったことがある人、ネット通販で注文したことがある人の多くが、自分も入っているかもしれないと考える規模だ。パスワードを変えれば済む話ではないぶん、これから届く連絡をどう見分けるかが手元の課題になる。
10月中旬から入られていた可能性
公表文によると、同社が不正アクセスに気づいたのは11月6日(金)。すぐにアクセスを遮断し、外部の専門機関と調査を始めた。その後のログの解析で、10月中旬から下旬にも第三者がアクセスしていた可能性が分かり、詳しい経緯はまだ調べている。
件数の3,762万は、いまの時点の最大値だ。同社はログの解析とデータの照合を続けていて、影響の範囲と件数は今後変わる可能性があると書いている。人数ではなく件数で示されている点も覚えておきたい。同じ人が会員と購入者の両方で数えられているかどうかは、公表文からは分からない。
漏れたかもしれない情報、漏れていない情報
流出の可能性がある情報は、立場によって違う。
- 個人会員と購入者: 会員番号、氏名 (フリガナを含む)、メールアドレス、住所、電話番号、生年月日、性別
- 法人会員: 会員番号、会社名、部署名、代表者の氏名、会社の住所と電話番号、担当者の氏名・メールアドレス・電話番号
- 注文データ: ニトリネットと、EC モールのニトリ公式ショップを通じた注文
情報の組み合わせは人によって異なる。対象に含まれていないのは、ログインパスワードとクレジットカード情報の2つだ。
パスワードが無事なら安心かというと、そうとも言い切れない。氏名、住所、電話番号、生年月日、それに何を買ったかがそろうと、本物らしく見える連絡を作りやすくなる。「先日ご注文の商品の配送について」と、実際の購入に近い文面が届けば、疑う手がかりは少ない。
本物の連絡と、まぎらわしい連絡
同社は対象者に、メールか郵送で順次連絡するとしている。厄介なのは、同じ時期に偽の連絡も来うることだ。公表文自身も、ニトリや配送事業者、EC モールを装った連絡に注意するよう呼びかけている。
見分けの手がかりは、公表文に書かれている。同社がメールや電話で、パスワードやクレジットカード番号、暗証番号を聞くことはない。聞かれたら、その時点で偽物と考えてよい。
連絡が本物らしく見えても、メールのリンクや添付は開かず、書かれた電話番号にもかけない。確かめるなら、自分で開いたニトリの公式サイトか、公表文に載っているお客様相談室 (0120-209-993、毎日10時〜20時) を使う。届いたメールが本物かどうかを、届いたメールの中の情報で確かめない、というのが筋だ。
手間もある。連絡が来るまで、自分が対象かどうかは分からない。連絡の時期も「順次」としか示されていない。待つあいだにできるのは、ニトリを名乗る連絡が来たら一呼吸おく、と家族のあいだで決めておくことくらいだ。高齢の家族がニトリの会員なら、先に一声かけておくと効く。
通知が届いてからの手順は、漏えいの知らせが来たらやること、順番つきの手順にまとめてある。
次に確かめる先
同社は、新たに公表すべきことが分かればすぐに知らせるとし、個人情報保護委員会と警察への報告・相談も進めている。確かめる先は、ニトリホールディングスの公式サイトのニュースの欄だ。侵入の経路、件数の確定、対象者への連絡の開始が載るかを、今週のうちに一度見ておきたい。件数が人数に直されれば、自分が含まれる見込みもつかみやすくなる。
ことば
- 不正アクセス — 権限のない第三者が、他人のシステムに入り込むこと。今回のように、気づいた日より前から入られていたと後で分かることも多く、件数や範囲はあとから変わりやすい。
- フィッシング — 実在の会社を装ったメールや SMS で偽のサイトへ誘い、パスワードやカード番号を入力させる手口。本物の購入履歴や住所を知られていると、文面の見分けがつきにくくなる。
ニトリを名乗る連絡が届いたとき、あなたはどこで本物かどうかを確かめるだろうか？
