日本
The Morning Dev

知っておくべきことだけを、毎朝

‹
 
D6/100

情報漏えい · 高

ニトリグループでシステム侵害 最大3762万件の個人情報流出の恐れ

ティアD · 参考情報 – 知っておくと良い

影響を受ける人： ニトリの会員・購入者・法人会員の個人情報

ティアDの理由： 開発者に影響しない

影響範囲

攻撃

被害

修正

悪用確認済み · シークレットの流出

要点

  • ニトリホールディングスは11月9日、管理システムへの第三者による不正アクセスにより、最大3762万件の個人情報が外部に流出した可能性があると発表した
  • 発覚は11月6日で、10月中旬から下旬にかけて不正アクセスを受けていた可能性があるという
  • 対象は個人・法人会員の情報やECモールの注文データで、ログインパスワードやクレジットカード情報などの決済情報は含まれないとしている

なぜ重要か

大規模な顧客データの流出であり、EC事業者や会員制サービスを運用する開発者は、認証基盤や管理システムへのアクセス制御、ログ監視の見直しを迫られる事例である。

ティアの根拠となったチェックリスト

チェックリスト · 10項目中2項目が「はい」
いいえ開発者に影響ニトリは家具・インテリアの小売企業で、被害は自社の顧客に限られるため対象外である。
いいえ基幹インフラ被害は小売企業の顧客システムに限られ、多くのチームが運用する基幹ソフトウェアではない。
いいえ人気ツール侵入されたのはニトリの管理システムであり、広く使われる開発技術や製品ではない。
はい悪用確認済みITmedia NEWS: ニトリのシステムへの不正アクセスが実際に発生し、10月中旬から下旬にかけて受けていた可能性があるという。
いいえ公開エクスプロイト公開された情報に攻撃の手口やエクスプロイトに関する記述はなく、全ソースが不正アクセスの発表にとどまる。
いいえ認証不要のリモート攻撃ソースは侵入経路や攻撃手法に触れておらず、ネットワーク経由で認証なしに悪用されたとは確認できない。
いいえ完全な乗っ取りソースは管理者権限の取得やコード実行には言及しておらず、完全な乗っ取りは確認できない。
はいシークレットの流出ITmedia NEWS: 管理システムへの不正アクセスにより最大3762万件の個人情報が流出した可能性があると発表された。
いいえサプライチェーンソースは正規ソフトウェアやパッケージへの悪意あるコードの配布には触れておらず、サプライチェーン攻撃とはされていない。
いいえ修正なしソースは侵入経路や脆弱性に触れておらず、修正の有無は確認できない。

タイムライン

  1. 不正アクセスを発覚

  2. 最大3762万件の個人情報が流出した可能性を発表

  3. internet.watch.impress.co.jp

    ニトリ、不正アクセスにより個人・法人会員の情報最大3762万件が流出の可能性

  4. サイバーセキュリティ.com

    ニトリホールディングスが不正アクセスを受け最大3,762万件の個人情報が流出した可能性

  5. watch.impress.co.jp

    ニトリ、最大3762万件の個人情報流出の恐れ 不正アクセス

  6. ITmedia NEWS 最新記事一覧

    ニトリに不正アクセス、最大3762万件の個人情報流出の可能性 法人会員も対象に

  7. feed.japan.cnet.com

    ニトリ、最大3762万件の個人情報流出の恐れ 氏名・住所など

  8. ＠IT Security&Trustフォーラム 最新記事一覧

    ニトリから「最大3762万件」の個人情報が流出か――EC注文データも対象に

  9. Security NEXT

    システム侵害で顧客情報流出の可能性 - ニトリグループ

すべての報道 · ソース7件

初出： · ソース7件 · 記事ページ · ティアの決め方