イエローハットで1,797,124人分の個人情報漏えい、不正アクセス調査で確認

株式会社イエローハットは2026年10月15日、「イエローハットWEB作業予約システム」への不正アクセスについて第二報を公表し、第三者調査機関による調査の結果、1,797,124人分の個人情報が外部に漏えいしたことを確認したと発表しました。

2026年8月28日の第一報では、最大1,801,499人分の会員情報が漏えいした可能性があるとしていましたが、その後のフォレンジック調査やアクセスログの解析によって、実際の対象範囲が特定されました。

1,797,124人分の個人情報漏えいを確認

第二報で確認された漏えい対象は1,797,124人分です。

第一報では最大1,801,499人分の情報が漏えいした可能性があるとしていましたが、調査結果を受けて対象人数が4,375人分減少しました。一方で、情報漏えいそのものについては「可能性」から「確認」に変わっています。

第二報で公表された漏えい情報には、以下の項目が含まれます。

第一報では氏名、電話番号、メールアドレス、会員番号が漏えいした可能性があると公表されていましたが、詳細調査によって住所、生年月日、性別、ログインID、パスワードも対象に含まれていたことが判明しました。

パスワードについては復元できない状態で保管されており、イエローハットは、この情報を利用してアカウントを不正利用されるおそれはないと説明しています。

クレジットカード情報については、対象となったシステムで保持・取り扱いをしていないため、今回の不正アクセスによる漏えいはないとしています。

イエローハットは、不正アクセスを確認した後、対象システムの外部接続を遮断し、第三者調査機関によるフォレンジック調査やアクセスログの解析を実施しました。

その結果、不正侵入によって一部の顧客データが外部へ流出していたことと、対象となる人数や情報項目が特定されたとしています。

システムについては必要な改修やセキュリティ対策を実施し、第三者調査機関による対策の有効性確認を経て稼働を再開しています。

イエローハットは、対象となった利用者に対してWebサイト、メール、書面、電話などを通じて案内とお詫びを行っています。

また、個人情報保護委員会への最終報告を行い、警察の捜査にも協力しているとしています。

今回漏えいした情報には、氏名、住所、生年月日、電話番号、メールアドレス、会員番号など、本人を特定したり正規の連絡であるかのように見せかけたりするために利用できる情報が含まれています。

今後、イエローハットや関連サービスを装い、「会員情報の確認」「作業予約の確認」「アカウントの再認証」「パスワードの確認」などを理由として、不審なWebサイトへ誘導するフィッシングメールやSMSが送られる可能性には注意が必要です。

特に、実際の氏名や会員情報などを記載した連絡であっても、それだけで正規のメールやSMSであるとは判断できません。

メールやSMSに記載されたURLからログインIDやパスワード、個人情報を入力せず、必要な確認はイエローハットの公式サイトや正規の窓口から行ってください。

なお、イエローハットが今回漏えいした情報を利用したフィッシング被害が実際に確認されたと公表しているわけではありません。

今回の第二報では、第一報で「最大1,801,499人分に漏えいの可能性」とされていた情報について、1,797,124人分の情報が実際に漏えいしていたことが確認されました。

また、漏えいした情報の種類も第一報より増えており、住所、生年月日、性別、ログインID、復元できない状態のパスワードが新たに対象として公表されています。

phishing.jpでは、イエローハットやカー用品店、WEB作業予約サービスなどを装うフィッシングメール・偽サイトが確認された場合、引き続き情報を整理して掲載します。