# DOSSIER PRO : Nitori : jusqu'à 37,62 millions d'enregistrements clients potentiellement exposés

## L'essentiel

Nitori Holdings, grand nom de l'ameublement et des articles domestiques présent partout dans l'archipel, a annoncé lundi 9 novembre en fin d'après-midi que ses systèmes avaient subi un accès non autorisé, détecté et bloqué le 6 novembre ; l'enquête a ensuite fait apparaître de possibles accès entre la mi-octobre et la fin octobre. Jusqu'à 37,62 millions d'enregistrements de membres et d'acheteurs pourraient avoir été exposés : numéros de membre, noms, adresses électroniques, adresses postales, numéros de téléphone, dates de naissance et sexe, ainsi que les informations de commande passées sur Nitori Net et sur les boutiques officielles Nitori des places de marché ; pour les membres entreprises, raison sociale, service, nom du représentant, adresse et téléphone de la société, nom, adresse électronique et téléphone du contact. Le groupe indique que les informations de cartes bancaires et les mots de passe ne sont pas concernés, et qu'il procède aux signalements auprès de la Commission de protection des informations personnelles et de la police. La fuite n'est pas confirmée à ce stade ; l'entreprise évoque un risque, adossé à un plafond de 37,62 millions d'enregistrements qui n'est pas un décompte constaté.

Dix jours plus tôt, Muji avait annoncé que jusqu'à 27,26 millions d'enregistrements pouvaient avoir fuité, et a ajouté lundi soir, selon l'Asahi Shimbun, environ 270 000 comptes de sa boutique en ligne ayant pu faire l'objet d'une connexion non autorisée, après une attaque par liste d'identifiants obtenus ailleurs, avec des noms, des adresses et des historiques d'achat susceptibles d'avoir fuité. Les deux annonces cumulent 64,88 millions d'enregistrements au maximum annoncé, ce qui ne correspond pas à autant de personnes distinctes, une même personne pouvant figurer dans les deux fichiers. Pour un client de l'une ou l'autre enseigne, l'enjeu immédiat n'est pas le volume mais la nature des champs touchés : un courriel qui cite une commande réelle est bien plus convaincant qu'une arnaque générique.

## Un accès bloqué le 6 novembre, un périmètre annoncé jusqu'à 37,62 millions d'enregistrements

La chronologie de Nitori tient en trois dates distinctes, qu'il faut garder séparées. La première est celle des accès antérieurs, que le groupe juge possibles entre la mi-octobre et la fin octobre, sans jour précis et sous réserve de l'enquête en cours. La deuxième est celle de la détection, le 6 novembre. La troisième est celle de l'annonce, le 9 novembre en fin d'après-midi, rapportée par NHK et l'Asahi Shimbun. Entre la détection et la prise de parole publique, trois jours se sont écoulés.

Le périmètre annoncé couvre les données d'identification et de contact, téléphone compris, les dates de naissance, le sexe et les informations de commande en ligne ; la combinaison varie d'un client à l'autre. Les membres entreprises figurent dans le même ensemble, ce qui étend la portée au-delà des seuls particuliers : les mêmes champs peuvent désigner le contact achats d'une société et ses informations de commande. Nitori exclut de son périmètre les données de cartes bancaires et les mots de passe. Cette exclusion limite l'exploitation bancaire directe, elle ne dit rien de l'usage des autres champs.

Le cas de Muji se lit sur deux lignes qu'il ne faut pas confondre. Le 30 octobre, l'enseigne avait annoncé que jusqu'à 27,26 millions d'enregistrements pouvaient avoir fuité. Lundi 9 novembre, elle a fait état d'environ 270 000 comptes de sa boutique en ligne ayant pu subir une connexion non autorisée, selon l'Asahi Shimbun, qui précise que des noms et des adresses pourraient avoir été dérobés. Les deux chiffres ne mesurent pas la même chose : l'un compte des comptes de la boutique en ligne, l'autre des enregistrements de membres de l'application MUJI, périmètre étendu le 4 novembre à des membres de la boutique en ligne. Le même communiqué du 9 novembre a porté d'environ 520 000 à environ 750 000 le nombre d'enregistrements pouvant inclure nom, adresse et téléphone, et a signalé environ 440 000 destinataires de livraisons contre remboursement, avec nom et code postal, pour des commandes passées du 2 janvier 2020 au 10 février 2025. Le plafond annoncé par Nitori, 37,62 millions, dépasse celui de Muji, 27,26 millions.

## Des champs qui rendent un message frauduleux crédible

Un nom, une adresse, un numéro de téléphone, une adresse électronique, une date de naissance et des informations de commande forment un ensemble cohérent, dont chaque pièce renforce les autres. Les informations de commande permettent de citer un produit réellement commandé ou une livraison réellement effectuée. Le numéro de téléphone ouvre la voie aux appels et aux SMS frauduleux. L'adresse postale confirme l'identité du destinataire et permet un courrier physique. La date de naissance peut servir de question de vérification dans des parcours de récupération de compte. La combinaison ne donne pas accès à l'argent, elle donne accès à la confiance.

C'est là que la distinction entre accès et fuite cesse d'être technique. Un accès non autorisé sans exfiltration confirmée demeure un incident de sécurité ; la mise en circulation des champs transforme l'incident en matière première pour des campagnes d'hameçonnage ciblé. Le plafond de 37,62 millions n'indique d'ailleurs pas combien de personnes sont concernées : Nitori compte des enregistrements et non des individus, précise que ce nombre peut encore changer au fil de l'analyse des journaux, et les membres entreprises ajoutent des entrées qui ne correspondent à aucun consommateur individuel.

La portée pour les membres entreprises mérite une mention propre. Un message qui cite une commande professionnelle, un bon de livraison ou une facture antérieure s'adresse à un service achats habitué à traiter ce type d'échange, pour qui une relance de facture ou une demande de confirmation de livraison relève de la routine. Les champs concernés sont exactement ceux qui rendent ce type de message plausible.

## Quatre millions, vingt-sept millions, soixante-dix-sept millions : ce que les précédents comparent

Un précédent récent est celui de Furusato Choice, annoncé le 20 octobre 2026 : une fuite confirmée de plus de 4,45 millions d'enregistrements de membres, avec noms, adresses, adresses électroniques, numéros de téléphone, mots de passe hachés et montants estimés de déduction, pour une plateforme qui sert d'intermédiaire entre donateurs et collectivités. Le statut diffère de celui de Nitori : la fuite y est confirmée, et elle inclut des mots de passe hachés, que Nitori exclut de son périmètre.

Un précédent plus ancien et d'un volume supérieur est l'intrusion subie par Sony du 17 au 19 avril 2011 sur son réseau de jeu en ligne, avec les données de 77 millions de comptes. Le chiffre sert de point de repère, mais il couvre un périmètre mondial et non un fichier japonais : il situe l'ordre de grandeur des bases techniques de l'époque, il ne se compare pas directement à un fichier clients national. La même année, le 17 juin 2011, la Chambre des conseillers adoptait à la majorité, par 225 voix contre 11, une révision du Code pénal sanctionnant la création, la fourniture, l'utilisation, l'acquisition et la conservation de virus informatiques. Le projet avait été déposé le 1er avril, avant l'intrusion chez Sony.

La comparaison utile n'est pas celle des totaux, c'est celle des contenus. Un identifiant de connexion volé se révoque. Une information de commande ne se révoque pas : elle reste vraie indéfiniment et conserve sa valeur pour celui qui veut paraître informé. C'est ce qui distingue un fichier de distribution d'un fichier d'authentification, et c'est ce qui rend la lecture du cas Nitori dépendante de la question encore ouverte, celle du départ effectif des données.

## Pourquoi cela compte

Le secteur de la distribution japonais a construit des bases de fidélité qui relient une identité à ses commandes. Cette architecture produit un actif commercial considérable et un risque d'une espèce particulière : la donnée n'y est pas seulement nominative, elle est narrative. Elle raconte un déménagement, une naissance, un changement de train de vie. C'est pourquoi la valeur d'un tel fichier pour une fraude ne se mesure pas au nombre de lignes mais à la précision avec laquelle une ligne permet de rédiger un message que le destinataire reconnaîtra comme sien.

La séquence des dix derniers jours donne à ce constat une dimension qui dépasse chaque entreprise prise isolément. Deux enseignes de premier plan ont annoncé, à dix jours d'intervalle, des expositions de données clients dont les plafonds cumulés atteignent 64,88 millions d'enregistrements. Rien dans les annonces publiques n'établit de lien entre les deux intrusions, et il serait abusif de les traiter comme un seul événement. Mais la concomitance a un effet propre : elle déplace la question de la faute individuelle vers celle du niveau de protection attendu d'un fichier de membres et de commandes en ligne.

## À surveiller

La question centrale reste celle du départ effectif des données : Nitori comme Muji annoncent des plafonds et des risques de fuite, pas des fuites de données constatées ; chez Muji, les quelque 270 000 comptes sont eux aussi présentés comme une possibilité. Une confirmation d'exfiltration, ou son infirmation, changerait la nature du dossier : les champs exposés ne présentent pas le même danger s'ils sont restés dans les systèmes ou s'ils circulent.

Chez Muji, deux points sont observables : la révision éventuelle du plafond de 27,26 millions d'enregistrements à la lumière de l'analyse des connexions non autorisées, et la confirmation du caractère effectif du vol de noms et d'adresses. Chez Nitori, deux points restent ouverts également : la révision éventuelle du plafond de 37,62 millions d'enregistrements, et le traitement réservé aux membres entreprises ; une notification distincte aux clients professionnels, avec un canal dédié, indiquerait que le groupe traite ce segment à part.

Pour la personne concernée, la démarche dépend de sa situation. Un client particulier de Nitori ou de Muji qui reçoit un message citant une commande réelle doit considérer cette précision comme un signal d'alerte et non comme une preuve d'authenticité, puis se connecter au site du marchand par son adresse habituelle, jamais par un lien contenu dans le message. Un contact achats d'une entreprise référencée comme membre entreprise doit faire remonter le message à son service informatique plutôt que le traiter seul. Nitori précise qu'elle ne demande jamais par courriel ou par téléphone un mot de passe, un numéro de carte ou un code confidentiel, et qu'elle préviendra les clients concernés par courriel ou par courrier ; en cas de doute, il faut joindre le service client officiel sans répondre au message ni à l'appel. Un client de Muji doit changer tout mot de passe réutilisé sur d'autres sites ; la boutique en ligne est suspendue depuis le 6 novembre et l'enseigne prépare une réinitialisation de tous les mots de passe à sa réouverture. Le 12 novembre, le président de Ryohin Keikaku, Satoshi Shimizu, a présenté ses excuses en conférence de presse et attribué l'intrusion à une vulnérabilité d'une partie du système, selon TBS ; aucune date de réouverture de la boutique en ligne n'est fixée. S'il détient une MUJI Card souscrite jusqu'en juillet 2021, il doit surveiller ses relevés : l'enseigne a indiqué le 4 novembre qu'environ 1,09 million de numéros de carte complets pouvaient aussi avoir fuité, avec l'identifiant MUJI Card et la date de naissance, mais sans le nom du titulaire, la date d'expiration ni le code de sécurité ; environ 345 000 de ces cartes étaient encore valides, et toute opération suspecte doit être signalée à Credit Saison. Muji et Credit Saison, émetteur de la carte, préviennent les clients concernés par courriel ou par courrier à partir du 10 novembre.

## Sources et repères

*Informations arrêtées au 12 novembre 2026 (heure du Japon).*

### Chronologie

| Étape | Date | Statut |
|---|---|---|
| Accès possibles aux systèmes de Nitori | de la mi-octobre à la fin octobre 2026 | accès possibles selon l'entreprise, enquête en cours |
| Première annonce de Muji (application MUJI) | 30 octobre 2026 | jusqu'à 27,26 millions d'enregistrements, fuite possible |
| Deuxième communiqué de Muji | 4 novembre 2026 | périmètre étendu à la boutique en ligne et à environ 1,09 million de numéros de MUJI Card |
| Détection et blocage chez Nitori | 6 novembre 2026 | date établie |
| Suspension de la boutique en ligne de Muji | 6 novembre 2026, 16 h | date établie |
| Annonce publique de Nitori | 9 novembre 2026, fin d'après-midi | date établie |
| Quatrième communiqué de Muji | 9 novembre 2026 | environ 270 000 comptes, 750 000 enregistrements et 440 000 destinataires, fuites possibles |

### Chiffres annoncés

| Entité | Chiffre | Unité | Statut |
|---|---|---|---|
| Nitori Holdings | jusqu'à 37 620 000 | enregistrements | maximum annoncé, fuite non confirmée |
| Muji | jusqu'à 27 260 000 | enregistrements | maximum annoncé le 30 octobre 2026 |
| Muji | environ 270 000 | comptes | connexion non autorisée possible, annonce du 9 novembre 2026 |
| Muji | environ 750 000 | enregistrements | sous-ensemble des 27,26 millions pouvant inclure nom, adresse et téléphone, révisé le 9 novembre 2026 (520 000 auparavant) |
| Muji | environ 440 000 | destinataires de livraisons contre remboursement | nom et code postal, fuite possible, annonce du 9 novembre 2026 |
| Muji | environ 1 090 000 | numéros de MUJI Card complets | fuite possible, annonce du 4 novembre 2026, cartes souscrites jusqu'en juillet 2021, dont environ 345 000 encore valides |
| Furusato Choice | plus de 4 450 000 | enregistrements | fuite confirmée, annoncée le 20 octobre 2026 |
| Sony (réseau de jeu en ligne) | 77 000 000 | comptes | cas d'avril 2011, périmètre mondial |

### Sources

- [Nitori Holdings, 9 novembre 2026 : communiqué sur l'accès non autorisé et le risque de fuite de données personnelles](https://finance.biggo.jp/news/jpx_tdnet_140120261109569598)
- [NHK, 9 novembre 2026 : accès non autorisé chez Nitori, jusqu'à 37,62 millions de données personnelles visées par un risque de fuite](https://news.web.nhk/newsweb/na/nd-20261109de73045)
- [NHK, 9 novembre 2026 : Ryohin Keikaku, environ 270 000 enregistrements exposés à un risque de fuite après une attaque par liste](https://news.web.nhk/newsweb/na/nd-20261109de73077)
- [NHK, 20 octobre 2026 : Furusato Choice annonce la fuite de 4,45 millions d'enregistrements](https://news.web.nhk/newsweb/na/nd-20261020de62437)
- [Impress Watch, Nitori](https://www.watch.impress.co.jp/docs/news/2154952.html)
- [ITmedia, Muji, quatrième rapport](https://www.itmedia.co.jp/news/article/2611/09/2000003038/)
- [J-CAST, Muji](https://www.j-cast.com/2026/11/09519060.html)
- [Ryutsuu, Muji](https://www.ryutsuu.biz/strategy/s111042.html)
- Jiji via Yahoo, MUJI Card
- [ITmedia, Furusato Choice](https://www.itmedia.co.jp/news/article/2610/20/2000002434/)
- [Asahi Shimbun, 9 novembre 2026 : Nitori, risque de fuite de données personnelles sur un plafond de 37,62 millions d'enregistrements](http://www.asahi.com/articles/ASVC93QC0VC9ULFA01GM.html)
- [Asahi Shimbun, 9 novembre 2026 : Muji, environ 270 000 comptes de la boutique en ligne exposés à une connexion non autorisée](http://www.asahi.com/articles/ASVC93Q9HVC9ULFA018M.html)
- TBS, 12 novembre 2026 : conférence de presse de Ryohin Keikaku
- [Internet Watch, 4 novembre 2026 : MUJI Card, environ 1,09 million de numéros](https://internet.watch.impress.co.jp/docs/news/2154222.html)
- [Chambre des conseillers, 17 juin 2011 : résultat du vote sur la révision du Code pénal](https://www.sangiin.go.jp/japanese/joho1/kousei/vote/177/177-0617-v002.htm)
- [Barreau de Tokyo, dépôt du 1er avril 2011](https://www.toben.or.jp/message/seimei/post-243.html)
- [Actu Japon, 27 avril 2011 : intrusion sur le réseau de jeu en ligne de Sony, données de 77 millions d'utilisateurs](https://actu.jp/articles/2011/04/169463-sony-se-fait-pirater-le-playstation-network-fuite-des-donnees-de-77-millions-dutilisateurs/)

### Termes japonais

- **不正アクセス** (fusei akusesu) : accès non autorisé. C'est le terme employé par NHK et l'Asahi Shimbun pour l'intrusion détectée chez Nitori.
- **不正ログイン** (fusei roguin) : connexion non autorisée à un compte. Chez Muji, il qualifie les quelque 270 000 comptes de la boutique en ligne où une telle connexion est possible.
- **個人情報** (kojin jōhō) : données à caractère personnel. Nitori parle de 個人情報漏えいの可能性, possibilité de fuite de données personnelles.