カー用品店を展開する株式会社イエローハットは2026年8月28日、「イエローハットWEB作業予約システム」が不正なプログラムによる攻撃を受け、会員サーバーに保管されていた最大1,801,499名分の個人情報が外部へ漏えいした可能性があると発表した。同社は8月18日朝に不正アクセスを検知し、直ちにシステムの外部接続を遮断している。同社グループでは、子会社の株式会社2りんかんイエローハットでも2026年4月に不正アクセスによる個人情報漏えいの可能性を公表しており、4か月あまりの間にグループで2件目の公表となった。
漏えいの可能性がある項目と規模
イエローハットの発表によると、漏えいした可能性がある情報は、氏名、電話番号、メールアドレス、会員番号の4項目。対象は最大1,801,499名にのぼる。
一方で、クレジットカード情報、パスワード、車両情報については、当該システムでは保持していないため漏えいはないとしている。また同社は、このシステムがグループ他社のシステムとは異なる独自の管理システムであるため、他ブランドの店舗を利用している顧客への影響はないと説明している。
漏えいの可能性が判明したのは、緊急措置を取ったあとの影響範囲の調査を進める過程だという。同社はシステムの停止を含む措置を取ったうえで詳細な調査とセキュリティ強化を進め、システム上の対策はすでに完了しているとしている。個人情報保護委員会への報告と警察への相談も行われている。
対象となる顧客へは、準備が整い次第、電子メール、SMS、電話および書面で案内するという。同社は専用相談窓口（0120-405-092）を設け、8月28日から10月12日までは全日10時から19時、10月13日以降は平日の同時間帯で受け付けている。
4月には子会社で318万人分の漏えいが確定
イエローハットグループでは、これに先立つ2026年4月23日、二輪用品店を展開する子会社の2りんかんイエローハットが、会員専用サーバーへの不正アクセスによる個人情報漏えいの可能性を公表していた。
同社が2026年6月19日に公開した最終報によれば、第三者の調査会社によるログ解析の結果、アプリとサーバーがデータをやり取りする仕組み（API）を悪用した不正アクセスにより、3,179,454名分の会員データが取得されたことが特定された。第二報の時点では「最大3,455,754名分」とされていたが、詳細調査によって件数が絞り込まれた形だ。漏えいした項目は、氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、アプリユーザーID、アプリパスワード、ポイント残高、車両情報と広範にわたる。クレジットカード情報は外部の決済システムを利用しており社内で保持していないため、漏えいは発生していないとしている。
2りんかん側は「2りんかんアプリ」の利用を制限したうえでシステムを再構築しており、2026年10月を目途に再開する予定。再開時には全アプリ会員を一斉にログアウトさせ、新しいパスワードの設定を求めるという。
なお、今回のイエローハットの事案と2りんかんの事案について、両者の関連や攻撃者の同一性は現時点で公表されていない。
顧客との「接点」がそのまま攻撃面になっている
この2件に共通するのは、狙われたのが基幹の会計システムなどではなく、顧客が日常的に触れるWeb予約システムやスマートフォンアプリだったという点である。作業予約やポイント管理といった機能は、利便性のためにインターネットに開かれ、会員データベースと直接つながっている。攻撃者から見れば、そこは正面玄関に近い。
とりわけ2りんかんの事案で示された「APIの悪用」は、多くの企業が抱える弱点だ。画面上の操作では想定していない使われ方でも、その裏側にあるAPIが大量のデータ取得を許してしまえば、通常のアクセスとして記録されたまま情報が持ち出される。Webアプリケーションの脆弱性診断だけでなく、APIごとの認可の設計と、取得量の異常を検知する仕組みが問われる。
もう一点は、グループとしての備えである。イエローハットは今回、他ブランドへの影響がない理由として、システムがそれぞれ独立していることを挙げた。これは被害の拡大を防ぐという意味では確かに有効に働いている。ただし、システムが分かれているということは、対策の水準も、監視の目も、インシデント発生時の初動も、それぞれの会社任せになりやすいということでもある。4月の事案で得られた知見がグループ全体でどこまで共有され、点検が横展開されていたのか。同種の事案が続いた組織にとって、そこは避けて通れない問いになる。
そして利用者にとって現実的な脅威は、今後届く「イエローハットを名乗る連絡」である。氏名・電話番号・メールアドレス・会員番号がそろえば、本人しか知り得ないはずの情報を織り交ぜたフィッシングメールやSMSを作ることは難しくない。イエローハット自身も、身に覚えのない不審なメールやSMSが届いた場合は、開封やリンクへのアクセス、添付ファイルの展開を行わないよう呼びかけている。企業側から見れば、正規の案内をメールやSMSで大量に送るこの時期は、便乗した詐欺が紛れ込みやすいタイミングでもある。
同じ手口に、自社は備えられていますか？