要点
発表された事実
- 株式会社イエローハットは2026年8月28日、「イエローハットWEB作業予約システム」への不正プログラムによる攻撃で、会員サーバー内の会員情報の一部が外部へ漏えいした可能性があると公表した。対象は最大1,801,499人分で、項目は氏名・電話番号・メールアドレス・会員番号とした（第一報）。
- 10月15日の第二報で、第三者調査機関のフォレンジック調査により原因究明と影響範囲の特定を完了し、不正侵入による顧客データの外部流出を確認したと公表した。流出は1,797,124人分（第二報）。
- 流出項目は、氏名、住所、生年月日、性別、電話番号、メールアドレス、会員番号、ログインID、パスワード（復元できない状態）。第一報から、住所・生年月日・性別・ログインID・パスワードが追加で確認された（同）。
- クレジットカード情報は同システムで保持しておらず、漏えいはない。対象者への通知は完了し、個人情報保護委員会への最終報告（確報）も提出済み（同）。
わかったこと
- 流出の件数と項目（第二報、2026-10-15）。
- セキュリティ強化とシステム改修を施して稼働を再開し、その有効性を第三者調査機関も確認した（同）。
わかっていないこと
- 侵入に使われた脆弱性や手口の具体的な内容（「不正プログラムによる攻撃」「不正侵入」とだけ公表）
- パスワードを「復元できない状態」で保管した方式（ハッシュのアルゴリズムやソルトの有無）
関係しそうな既知の手口
- （考察）第一報は「パスワードは保持していない」としていたが、第二報ではログインIDと復元できない状態のパスワードの流出が確認された。予約システムの外にある会員データまで攻撃者が届いていたことを示しており、初報で「保持していない」とした範囲の見立てがずれていたと読める。
概要
- 自動車用品チェーンのイエローハットで、車の作業予約に使う「WEB作業予約システム」が8月に不正侵入を受け、会員約180万人分の情報が流出した。
- 10月15日の第二報で調査が完了し、流出は1,797,124人分と確定した。初報になかった住所・生年月日・ログインID・パスワードも含まれていた。
- 同社はパスワードを「復元できない状態」で保管していたとして不正利用の恐れはないとし、確報も提出済みで、主要な事実は出そろった。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-08-18（火）朝 | 不正アクセスを検知し、システムの外部接続を遮断するなどの緊急措置（第一報）。※第二報では検知日を「8月19日」と記載 |
| 2026-08-28（金） | 第一報。会員情報最大1,801,499人分（氏名・電話番号・メールアドレス・会員番号）の漏えいの可能性を公表。個人情報保護委員会への報告と警察への相談を実施（第一報） |
| 2026-10-15（木） | 第二報。フォレンジック調査の完了と、1,797,124人分の流出、追加の流出項目を公表。対象者への通知完了、個人情報保護委員会への確報提出済み（第二報） |
| 2026-10-16（金） | NHKなどが約180万人分の流出確認を報道（NHK） |
発表内容の整理
事実（イエローハットの発表）
| 項目 | 第一報（2026-08-28） | 第二報（2026-10-15） |
|---|---|---|
| 対象システム | イエローハットWEB作業予約システム（会員サーバー） | 同左 |
| 原因の表現 | 不正プログラムによる攻撃 | 不正侵入 |
| 件数 | 最大1,801,499人分（可能性） | 1,797,124人分（流出を確認） |
| 項目 | 氏名、電話番号、メールアドレス、会員番号 | 左記に加え、住所、生年月日、性別、ログインID、パスワード（復元できない状態） |
| パスワード | 「保持していないため漏えいはない」 | 「復元できない状態で保管しており、不正利用の恐れはない」 |
| クレジットカード | 保持していない | 保持・取り扱いなし。店頭・ECの決済も外部システム |
| 他ブランド | グループ他社の予約システムとは別管理で影響なし | ― |
| 通知 | 準備が整い次第、メール・SMS・電話・書面で | WEB・メール・書面・電話等で完了 |
| 当局 | 個人情報保護委員会へ報告、警察へ相談 | 個人情報保護委員会へ確報提出済み |
考察
第二報の数字は第一報より約4,000人少なくなった一方、流出項目は倍近くに増えた。ログの解析で「実際に持ち出された」範囲が特定され、件数は絞り込まれたが、中身は想定より深かったということだ（考察）。
もうひとつ目を引くのは、第一報が「パスワードは当システムでは保持していない」と書いていた点だ。第二報ではログインIDとパスワード（復元できない状態）の流出が確認されている。同社は理由を説明していないが、初報の段階で、攻撃者がどのデータまで届いたかの見立てが狭かった可能性がある（考察）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- 10月の国内では、予約・会員向けのWebシステムからの大量流出が続いている。宿泊予約の連携システム（TEMAIRAZU）や、ログインIDとパスワードのハッシュを含む流出（ビューティガレージ）などがある。
考察
- 本件は8月の事案で、10月に相次ぐ不正アクセスより前に起きている：検知は8月18日（第二報では19日）で、10月の一連の事案と同じ攻撃とは言えない。
- 「復元できない状態」の意味：パスワードを不可逆なハッシュで保管していたと読めるが、方式は公表されていない。ハッシュでも、弱い方式やよくあるパスワードなら総当たりで元に戻されることがある。「不正利用の恐れはない」は同社の評価であり、使い回している利用者は他のサービス側で変えておくほうが安全だ。
- 初報の「保持していない」は慎重に書くべき：調査の途中で流出範囲が広がることはある。skyticketでも、初報で「流出なし」としたクレジットカード情報が、後の報告で最大6,140人分の流出に訂正された（記事）。初報で断定的に「漏えいはない」と書いた項目が後から加わると、利用者は初報の段階で対策を取れない。
利用者・運用者がいまできること
事実（発表に基づく）
- 身に覚えのない不審なメールやSMSが届いたら、本文中のURLへのアクセスや添付ファイルの開封をしない（第二報）。
- 問い合わせは専用相談窓口 0120-405-092（平日10:00〜19:00）（同）。
考察（利用者向け）
- イエローハットの会員IDと同じパスワードを他のサービスで使っている場合は、そちらを変える。
- 住所・生年月日・電話番号がそろって流出しているので、車の点検・作業の予約や、タイヤ・車検の案内を装った電話やSMSに注意する。
考察（運用者向け）
- 初報では「保持していない」「影響はない」と断定する前に、調査が終わっていない範囲をはっきり書く。
- 予約システムのように会員DBと連携するシステムは、会員DBへの読み出し権限を最小限にし、大量の読み出しを検知できるようにしておく。