イエローハットのWEB作業予約システムへの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年8月28日、イエローハットは、「イエローハットWEB作業予約システム」が不正なプログラムによる攻撃を受け、会員最大1,801,499人の氏名・電話番号・メールアドレス・会員番号が流出したおそれがあると公表しました（イエローハットの発表）。8月18日朝に検知したとしています。 2026年10月15日の第二報（最終報）では、第三者の調査機関のフォレンジック調査を終え、会員1,797,124人の情報が流出したと確定しました。住所・生年月日・性別・ログインID・パスワード（復元できない形）も含まれていたとしています。カードの情報はシステムで扱っておらず、流出はないとしています。 侵入の経路は公表されていません。

会社の対応

• 検知のあとにシステムを遮断・停止し、セキュリティの強化とシステムの改修をしてから再開。対策の有効性は第三者の調査機関も確かめたとしています
• 個人情報保護委員会へ報告し（最終の報告まで提出済み）、警察に相談
• 対象の会員にウェブ・メール・書面・電話で知らせ、専用の相談窓口を設置
• 定期的な脆弱性の診断を続けるとしています

この事例から中小企業が学べること

• ウェブの予約システムから読める会員の情報を、予約に要るものだけに絞る
• 外から使えるシステムは、改修のたびと年1回は脆弱性の診断を受ける
• サーバーのファイルの変更に気づける改ざんの検知を入れる
• 「最大〇件」の第1報と、確定した最終報の両方を出す流れを決めておく