De Japanse meubel- en woonaccessoirehandelaar Nitori heeft een groot cyberbeveiligingsincident bekendgemaakt dat mogelijk tot 37,62 miljoen klantrecords heeft blootgesteld. Het bedrijf ontdekte op 6 november 2026 ongeautoriseerde toegang tot een van zijn systemen, maar onderzoekers denken dat de inbraak enkele weken eerder is begonnen.
Nitori Holdings maakte het incident op 9 november bekend en waarschuwde dat persoonlijke informatie van individuele klanten, bedrijfsleden en online shoppers mogelijk door een ongeautoriseerde derde partij is benaderd. Het bedrijf heeft niet bevestigd dat alle mogelijk getroffen gegevens zijn gestolen, en de uiteindelijke omvang van de blootstelling wordt nog onderzocht.
De retailer exploiteert een uitgebreid netwerk van winkels in Japan en andere Aziatische markten. Nitori heeft 879 winkels in Japan en nog eens 219 locaties in China, Zuid-Korea, Taiwan, Thailand, Singapore en Hongkong.
De mogelijk gecompromitteerde informatie omvat klantnamen, lidmaatschapsnummers, e-mailadressen, woonadressen, telefoonnummers, geboortedata en geslacht. Voor zakelijke klanten kunnen de getroffen gegevens ook bedrijfsnamen, afdelingsinformatie, bedrijfsadressen en contactgegevens van bedrijfsvertegenwoordigers bevatten.
Informatie die verband houdt met aankopen gedaan via Nitori Net en de officiële winkels van het bedrijf op e-commerce marktplaatsen van derden, kan ook zijn blootgesteld. De specifieke combinatie van persoonlijke informatie verschilt per klant.
Nitori benadrukte dat accountwachtwoorden en creditcardgegevens niet waren opgenomen in de mogelijk gecompromitteerde gegevens. Het bedrijf heeft geen ongeautoriseerde betalingstransacties gemeld als gevolg van het incident.
Onderzoekers identificeerden tekenen van verdachte activiteiten die teruggaan tot half tot eind oktober, wat suggereert dat aanvallers mogelijk toegang hadden tot de getroffen omgeving voordat de inbraak op 6 november werd ontdekt. Het bedrijf heeft echter niet de exacte datum van de eerste inbraak vastgesteld of uitgelegd hoe de aanvallers hun systemen zijn binnengekomen.
Na het ontdekken van de ongeautoriseerde toegang blokkeerde Nitori de vermoedelijke aanvallers en begon met het onderzoeken van de getroffen infrastructuur met hulp van externe cybersecurityspecialisten. Het bedrijf pakte ook geïdentificeerde kwetsbaarheden aan en versterkte zijn monitoringsystemen.
Het onderzoek omvat het bekijken van systeemlogboeken en het vergelijken van gegevens om te bepalen hoeveel informatie toegankelijk was en of de aanvallers kopieën van de gegevens hadden verkregen. Nitori erkende dat het geschatte aantal getroffen dossiers kan veranderen naarmate het onderzoek vordert.
De winkelier heeft het incident gemeld bij de Japanse Commissie voor Bescherming van Persoonsgegevens en de politie en andere relevante autoriteiten geraadpleegd. Ook bereidt men zich voor om individueel contact op te nemen met getroffen klanten via e-mail of post.
Nitori waarschuwde dat blootgestelde contactinformatie misbruikt kan worden in phishing-e-mails, pogingen tot imitatie en frauduleuze telefoongesprekken. Criminelen kunnen mogelijk echte klantgegevens of eerdere aankoopgegevens gebruiken om misleidende communicatie geloofwaardiger te laten lijken.
Het bedrijf verduidelijkte dat het geen wachtwoorden, creditcardnummers of persoonlijke identificatienummers opvraagt via ongevraagde e-mails of telefoontjes.