イエローハットに不正アクセス｜作業予約の会員179万人の情報が流出

カー用品店のイエローハットは2026年10月15日、「イエローハットWEB作業予約システム」への不正アクセスについて、第三者の調査機関の調査を終えた第二報（最終報）を出しました。 会員1,797,124人の情報が外部に流出したと確定し、住所・生年月日なども含まれていたとしています（イエローハットの2026年10月15日の発表）。 店の作業予約をウェブで使った会員と、予約のシステムを外部に公開している会社に関係します。

公表された内容

• 対象のシステム：イエローハットWEB作業予約システム（第1報では、不正なプログラムによる攻撃を受けたとしています）
• 件数：1,797,124人（2026年10月15日の第二報）。第1報の「最大1,801,499人」から、ログの解析で実際の件数を特定したとしています
• 情報の種類：氏名・住所・生年月日・性別・電話番号・メールアドレス・会員番号・ログインID・パスワード（復元できない形）。住所・生年月日・性別・ログインID・パスワードは、第1報のあとに流出が分かった項目です
• パスワード：復元できない形で保管しており、この情報でアカウントが不正に使われるおそれはないとしています
• カードの情報：このシステムでは扱っておらず、店頭・EC の決済も外部のシステムを使っているため、流出はないとしています
• ほかの店：第1報で、このシステムはグループのほかの会社と別の独自の管理システムのため、他ブランドの店の利用者には影響はないとしています
• 侵入の経路・不正なプログラムの種類：公表されていません

経緯

• 2026年8月18日朝：不正アクセスを検知し、外部との接続を遮断してシステムを停止（第1報。第二報では「8月19日の検知後」に遮断・停止したと書いています）
• 2026年8月28日：第1報。最大1,801,499人の氏名・電話番号・メールアドレス・会員番号が流出したおそれを公表。個人情報保護委員会へ報告し、警察に相談
• 2026年10月15日：第二報（最終報）。フォレンジック調査（ログやデータを調べて原因と範囲を明らかにする調査）を終え、1,797,124人の流出と、追加の項目を公表。システムはセキュリティを強めて改修したうえで再開済み

会社の対応

• 検知のあとにシステムを遮断・停止し、セキュリティの強化とシステムの改修をしたうえで再開。対策が効いていることを第三者の調査機関も確かめたとしています
• 対象の会員には、ウェブ・メール・書面・電話で知らせ終えたとしています。専用の相談窓口を続けています
• 個人情報保護委員会への最終の報告（確報）を出し、警察の捜査に協力するとしています
• 今後も定期的に脆弱性の診断を続けるとしています

中小企業が今日からできること

• 予約・問い合わせのフォームの裏のデータを確かめる：ウェブの予約システムが、予約に要らない会員の住所・生年月日まで同じデータベースから読める作りになっていないか、制作会社に聞く
• 公開しているシステムの脆弱性の診断を年1回以上受ける：予約システムなど外から使えるシステムは、改修のたびと年1回は診断を受け、指摘を直す
• サーバーに知らないプログラムが置かれていないかを見る：ウェブのサーバーのファイルの変更を記録・通知する仕組み（改ざんの検知）を入れ、置いた覚えのないファイルに気づけるようにする
• 第1報と最終報の両方を出す前提で準備する：「最大〇件」と早めに知らせ、調査で確定したら知らせ直す流れと、相談窓口の受付の体制をあらかじめ決めておく
• 車・店を名乗るメールやSMSに注意するよう社員に伝える：社用車の整備でこの予約を使っていれば、住所や会員番号入りのそれらしい連絡が届くおそれがある。リンクを開かず、公式サイトから確かめる