イエローハット、サイバー攻撃で最大180万1,499名の個人情報漏洩の恐れ

株式会社イエローハットは2026年8月28日、「イエローハットWEB作業予約システム」が不正プログラムによるサイバー攻撃を受け、イエローハット会員サーバー内に保管されている一部の会員情報が外部へ漏えいした可能性があると公表しました。

漏えいした可能性があるのは最大1,801,499名で、氏名、電話番号、メールアドレス、会員番号が対象です。クレジットカード情報、パスワード、車両情報は同システムで保持していないため、今回の対象ではないとしています。

イエローハットは8月18日朝に不正アクセスを検知し、外部接続を遮断するとともにシステムを停止しました。その後、詳細調査とセキュリティ強化を進め、8月28日時点で必要なシステム上の対策は完了したと説明しています。個人情報保護委員会への報告と警察への相談も行っています。

なお、本件は2026年4月に発生した連結子会社「2りんかんイエローハット」の会員システムへの不正アクセスとは別件です。2りんかん事案では最終的に3,179,454名分の会員データ取得が確認されていますが、今回のイエローハット本体の事案では、最大1,801,499名について「漏えいした可能性がある」という公表段階です。

イエローハット不正アクセスのサマリー

• 2026年8月28日、WEB作業予約システムへの不正アクセスを公表しました。
• 同社は「不正プログラムによる攻撃」を受けたと説明しています。
• 8月18日朝に不正アクセスを検知し、直ちにシステムの外部接続を遮断しました。
• 漏えいした可能性がある個人情報は最大1,801,499名分です。
• 対象項目は氏名、電話番号、メールアドレス、会員番号です。
• クレジットカード情報、パスワード、車両情報は対象システムで保持しておらず、漏えいはないとしています。
• グループ他社とは異なる独自の管理システムを採用しており、他ブランド利用者への影響はないとしています。
• システム停止、詳細調査、セキュリティ強化を実施し、必要なシステム上の対策は完了しています。
• 個人情報保護委員会への報告と警察への相談を実施済みです。
• 対象者には電子メール、SMS、電話、書面で順次案内する予定です。
• 攻撃者、侵入経路、悪用された脆弱性、実際のデータ持ち出し有無は公表されていません。
• 2026年4月の子会社「2りんかん」の約317万名分のデータ漏えい事案とは別件です。

項目	内容
公表日	2026年8月28日
検知日	2026年8月18日朝
対象組織	株式会社イエローハット
対象システム	イエローハットWEB作業予約システム
インシデント	不正プログラムによる攻撃、不正アクセス
侵入経路	公表されていません
攻撃者	公表されていません
漏えいした可能性がある人数	最大1,801,499名
対象情報	氏名、電話番号、メールアドレス、会員番号
対象外	クレジットカード情報、パスワード、車両情報
他ブランドへの影響	なしと説明
実際のデータ持ち出し	公表資料では確認できませんでした
対応	外部接続遮断、システム停止、調査、セキュリティ強化
個人情報保護委員会への報告	実施済み
警察への相談	実施済み

8月18日朝に不正アクセスを検知、外部接続を遮断

イエローハットによると、8月18日朝に「イエローハットWEB作業予約システム」への不正アクセスを検知しました。同社は直ちにシステムの外部接続を遮断するなどの緊急措置を実施し、その後の影響範囲調査で、一部会員の個人情報が外部へ漏えいした可能性が判明しました。

公式発表では攻撃について「不正プログラムによる攻撃」としていますが、具体的な不正プログラムの種類、ランサムウェアかどうか、侵入経路、悪用された脆弱性、認証情報の侵害有無などは公表していません。

したがって、現時点で特定の脅威アクターや攻撃手法を推測することはできません。

最大180万1,499名、4項目が対象

漏えいした可能性があるのは最大1,801,499名です。対象情報は氏名、電話番号、メールアドレス、会員番号の4項目です。

イエローハットは「最大1,801,499名」としており、1,801,499名全員の情報が実際に外部へ持ち出されたと確認したわけではありません。公式発表も「漏えいした可能性がある」という表現にとどめています。

このため、「180万1,499名分が漏えいした」と確定的に表現するのではなく、「最大180万1,499名分に漏えいのおそれがある」と整理する必要があります。

クレジットカード情報、パスワード、車両情報は対象外

イエローハットは、今回のWEB作業予約システムではクレジットカード情報、パスワード、車両情報を保持していないため、これらの情報の漏えいはないと説明しています。

今回対象となる情報は氏名、電話番号、メールアドレス、会員番号です。実際に第三者へ取得されていた場合、イエローハットを装ったフィッシングメールやSMS、なりすまし電話などに利用される可能性があります。

他ブランドのシステムとは分離、影響なしと説明

今回のWEB作業予約システムは、グループ他社とは異なる独自の管理システムを採用しています。イエローハットは、この構成を理由に他ブランド店舗を利用する顧客への影響はないとしています。

この点は、4月に発生した2りんかん事案との関係を整理するうえでも重要です。2りんかん側の会員システムも当時、イエローハット本体など他の顧客情報管理システムから独立していると公表されていました。

今回、そのイエローハット本体側で別のWEB作業予約システムが攻撃を受けましたが、両事案が同一の攻撃者、侵入経路、システムに起因するとの情報は確認されていません。

2りんかんの約317万名漏えい事案とは別件

連結子会社の株式会社2りんかんイエローハットでは2026年4月20日、会員専用サーバーへの不正アクセスを検知しました。

6月19日の最終報では、アプリのAPIを悪用した不正アクセスによって3,179,454名分の会員データが取得されたことが特定されています。対象情報には氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、アプリユーザーID、アプリパスワード、ポイント残高、車両情報などが含まれていました。

一方、今回のイエローハットWEB作業予約システム事案は8月18日に検知された別の不正アクセスです。発生時期、対象システム、対象情報も異なります。

同じ企業グループで短期間に大規模な顧客情報インシデントが相次いだことは事実ですが、「4月の侵害から横展開した」「同一攻撃者による連続侵害」と判断できる根拠は公表されていません。

関連記事：イエローハット 子会社、「2りんかんアプリ」の会員の個人情報が漏洩の恐れ

本件と2りんかん事案の比較

今回のイエローハット本体のWEB作業予約システム事案と、2026年4月に発生した子会社「2りんかんイエローハット」の会員システム事案は、同じ企業グループ内で発生していますが、現時点で同一の攻撃者や侵入経路によるものとは確認されていません。

特に注意したいのは、情報漏えいの確度が異なる点です。今回のイエローハット本体では最大1,801,499名について「漏えいした可能性がある」段階ですが、2りんかん事案では3,179,454名分の会員データが実際に取得されたことまで確認されています。

項目	イエローハット本体（今回）	2りんかん
対象組織	株式会社イエローハット	株式会社2りんかんイエローハット
検知日	2026年8月18日	2026年4月20日
対象システム	イエローハットWEB作業予約システム	2りんかん会員専用サーバー／アプリ関連API
インシデント	不正プログラムによる攻撃、不正アクセス	APIを悪用した不正アクセス
侵入経路・手口	詳細は公表されていません	アプリのAPIを悪用した不正アクセス
対象人数	最大1,801,499名	3,179,454名
情報漏えいの確度	外部へ漏えいした可能性がある	会員データが実際に取得されたことを確認
対象情報	氏名、電話番号、メールアドレス、会員番号	氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、アプリユーザーID、アプリパスワード、ポイント残高、車両情報
クレジットカード情報	対象外	対象外
パスワード	対象外	アプリパスワードが対象
車両情報	対象外	対象
他ブランドへの影響	なしと説明	イエローハットなど他ブランドへの影響なしと確認
攻撃者	公表されていません	公表されていません
両事案の関連性	2りんかん事案との関連は確認されていません	今回事案との関連は確認されていません
個人情報保護委員会	報告済み	最終報告を提出済み
警察	相談済み	所轄警察へ被害申告、捜査協力を継続

この比較から、両事案を「同じ企業グループで発生した2件の大規模インシデント」として横断的に検証する必要はあるものの、技術的には別系統のインシデントとして扱う必要があります。

2りんかん事案ではAPIを悪用したデータ取得まで確認されていますが、今回のイエローハット本体では、具体的な侵入経路や実際のデータ持ち出し有無は明らかになっていません。

したがって、「2りんかんで侵入した攻撃者がイエローハット本体へ横展開した」「同じ脆弱性が再び悪用された」と結び付ける根拠は現時点ではありません。

必要なシステム上の対策は完了

イエローハットは8月18日の不正アクセス確認後、システム停止を含む措置を実施しました。その後、詳細調査とセキュリティ強化を進め、8月28日時点で必要なシステム上の対策は完了したとしています。

ただし、具体的にどのような対策を追加したのかは公表していません。侵入経路も明らかになっていないため、脆弱性修正、認証強化、ネットワーク変更など個別の対策内容を推測することはできません。

個人情報保護委員会へ報告、警察にも相談

イエローハットは本件について、個人情報保護委員会への報告と警察への相談を行っています。

対象者には準備ができ次第、電子メール、SMS、電話、書面でお詫びと注意喚起を行う予定です。専用相談窓口も設置しています。

同社は、不審なメールやSMSが届いた場合、リンクへのアクセスや添付ファイルの開封などを行わないよう注意を呼びかけています。

情報システム部門への示唆

今回の事案では、独立したシステム構成によって他ブランドへの影響が限定されたと説明されています。システム分離は、侵害時の影響範囲を限定するうえで重要です。

一方、同じグループ内で4月の2りんかん、8月のイエローハット本体と、異なる顧客システムへの大規模な不正アクセスが相次いだことから、個別システムだけでなくグループ横断でセキュリティ基準を適用する必要があります。

確認すべきなのは、インターネット公開システムの資産管理、脆弱性管理、認証・権限管理、WAF等の境界防御、アプリケーション・API監視、異常なデータアクセスや大量取得の検知です。

2りんかん事案ではAPIを悪用したデータ取得が確認されましたが、今回の侵入経路は不明です。2りんかんで確認された手法を今回の原因とみなすことはできませんが、過去の攻撃知見を他のグループシステムへ水平展開して点検することは重要です。

また、システムが分離されていても、認証基盤、運用端末、管理ネットワーク、クラウドアカウント、保守事業者などに共有要素がないかを確認する必要があります。同一グループで複数のインシデントが発生した場合は、共通する設計・運用・委託先に構造的な弱点がないかを横断的に検証することが求められます。

出典

• イエローハットにおける不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ – 株式会社イエローハット
• 連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ【第三報・最終報】 – 株式会社イエローハット
• イエローハット 子会社、「2りんかんアプリ」の会員の個人情報が漏洩の恐れ – セキュリティ対策Lab