カー用品の株式会社イエローハット、WEB作業予約システムに不正プログラムによる攻撃 — 最大1,801,499名の会員情報が漏えいのおそれ

項目	内容
発生日	2026年8月18日（火）朝に不正アクセスを検知。侵入の開始時期は公表されていない
公表日	2026年8月28日（報道は2026年9月2日）
対象組織・業界	株式会社イエローハット（カー用品店の展開／小売・EC）。対象は「イエローハットWEB作業予約システム」
影響件数	最大1,801,499名。氏名、電話番号、メールアドレス、会員番号。クレジットカード情報は当該システムで保持しておらず対象外
攻撃手法	「イエローハットWEB作業予約システム」に対する不正プログラムによる攻撃。侵入経路は公表されていない
情報源	株式会社イエローハット「イエローハットにおける不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年8月28日）、ScanNetSecurity（2026年9月2日）

概要

カー用品店を展開する株式会社イエローハットは2026年8月28日、同社の「イエローハットWEB作業予約システム」が不正プログラムによる攻撃を受け、個人情報が漏えいした可能性があると公表しました。

不正アクセスを検知したのは2026年8月18日（火）朝です。同社は直ちにシステムの外部接続を遮断するなどの緊急措置を実施し、その後の調査の過程で漏えいの可能性が判明しました。

対象となるのは最大1,801,499名で、漏えいの可能性がある項目は氏名、電話番号、メールアドレス、会員番号です。クレジットカード情報は当該システムでは保持していないため、漏えいはないとしています。

同社は「本システムは、グループ他社のシステムとは異なる独自の管理システムを採用しているため、他ブランドの店舗をご利用のお客様への影響はございません」と説明しています。

システムを停止して詳細な調査とセキュリティの強化を進めており、個人情報保護委員会および警察へ報告しました。対象となる顧客へは、電子メール、SMS、電話、書面で案内する予定としています。問い合わせ窓口としてフリーダイヤル（0120-405-092）を設け、2026年8月28日から10月12日までは全日10時から19時、10月13日以降は平日10時から19時の受付としています。

経緯

• 侵入の開始時期: 公表されていない
• 2026年8月18日（火）朝: 「イエローハットWEB作業予約システム」への不正アクセスを検知。直ちにシステムの外部接続を遮断
• その後: 調査の過程で個人情報の漏えいの可能性が判明。個人情報保護委員会および警察へ報告
• 2026年8月28日: 株式会社イエローハットが公表。問い合わせ窓口を開設
• 2026年9月2日: 報道により広く伝えられる
• 以降: 詳細な調査とセキュリティ強化を継続。対象者へメール・SMS・電話・書面で案内

原因

判明している事実: 「イエローハットWEB作業予約システム」が不正プログラムによる攻撃を受けたことです。不正プログラムがどのように設置されたのか、侵入経路、侵入の開始時期は、いずれも公表されていません。

考えられる原因（推測）

公表では「不正プログラムによる攻撃」という表現が使われています。攻撃者が何らかの経路で侵入したうえで、システム上にプログラムを置いたという順序が読み取れます。置かれたプログラムが何をしていたか、たとえば会員情報を外部へ送っていたのか、その場で読み出せる状態を作っていたのかは示されていません。

対象が最大1,801,499名という規模である一方、項目は氏名・電話番号・メールアドレス・会員番号の4つにとどまっています。作業予約というサービスの性格上、必要なのは「誰が、いつ、どの店舗に来るか」を結びつける情報で、決済はシステムの外にあったと考えられます。クレジットカード情報を保持していなかったという説明も、この構成と整合します。

8月18日朝の検知から8月28日の公表までは10日です。この間に外部接続の遮断、対象範囲の特定、関係機関への報告が行われています。件数を最大値として示し、項目を4つに絞って書けていることからは、どのデータが対象になりうるかを短期間で切り分けられたと読めます。

対策

組織が学ぶべきこと

1. 予約や受付のシステムを、会員データベースと同じ重さで扱う

侵害されたのは決済システムでも基幹システムでもなく、作業の予約を受け付けるシステムでした。この種のシステムは、扱う項目が少ないぶん「重要度が低い」と分類されがちですが、会員の大半が使うので件数だけは本体と変わりません。守る優先度は、扱う項目の機微さだけでなく、そこに紐づく人数でも決める必要があります。

2. 持たなくてよいデータは、そもそも持たない

同社はクレジットカード情報を当該システムで保持していなかったため、その部分の漏えいは発生していません。保持していないデータは、どれだけ深く侵入されても出ていきません。予約や問い合わせを受け付ける仕組みで、決済や本人確認の情報まで一緒に持つ構成にしていないか。侵害の後に減らすことはできないので、設計の段階でしか手を入れられません。

3. 本物の連絡経路を、公表と同時に告知する

同社は対象者への案内を電子メール、SMS、電話、書面で行うとしています。大規模な漏えいの後には、その連絡に便乗した偽の連絡が必ず出てきます。氏名・電話番号・メールアドレスが揃って出ている以上、材料も揃っています。どの番号から電話するのか、どのドメインからメールを送るのか、そしてこちらから口座やカードの情報を尋ねることはないという一文を、公表と同じタイミングで出しておく必要があります。

ヤグラの視点 — 組織固有知識の学習：同じグループの会員向けシステムが、4か月で2度侵害された

2026年4月には、子会社の株式会社2りんかんイエローハットで会員専用サーバが不正アクセスを受け、310万名分の個人情報が漏えいした可能性が公表されています。今回は親会社のWEB作業予約システムで最大1,801,499名。同じグループの会員向けシステムが、4か月のうちに2度侵害されたことになります。手口が同じかどうかは、どちらも侵入経路が公表されていないため分かりません。

見えてくるのは、グループの中に会員を抱えるシステムが複数あり、それぞれが別に動いているという構造です。4月に侵害されたのは会員専用サーバ、今回は作業予約のシステム。管理も系統ごとに分かれています。守る対象も、見張る対象も、その系統の数だけあることになります。

それぞれに認証の記録があり、通信の記録があり、操作の記録があります。これを系統ごとに人が毎日見て回るのは、人員の問題として成り立ちません。24時間分のログをすべて読む担当は置けないので、実際にはアラートが上がったものを業務時間内に順番に確認する形になります。散らばった記録を1か所に集めてAIが常時見る、検知から初動までを数時間〜数日ではなく数分の単位に引き下げる。2度目を1度目より早く止めるための現実的な形は、この方向にあります（→ ヤグラ AI SOC）。

今後の対応

• 侵入経路と、不正プログラムが設置された経緯
• 侵入の開始時期と、実際に持ち出された件数の確定
• 対象者への案内の実施状況
• 再発防止策の公表内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-09-02	2026年8月28日の公表内容および2026年9月2日の報道をもとに記事を公開