２りんかんイエローハットの「２りんかんアプリ」API悪用による不正アクセス（会員3,179,454名分の個人情報取得を確認）
公表日
バイク用品店「２りんかん」の会員専用サーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員3,179,454人分の個人情報が取得されました。アプリのパスワードや車両情報も含まれていました。
対象者は？
２りんかん（旧ドライバースタンドを含む）のポイント会員・モバイル会員・アプリ会員です。最大3,455,754人とされ、そのうち情報の取得が確認されたのは3,179,454人です。氏名・住所・電話番号・生年月日・性別・メールアドレス・会員番号・ポイント残高・アプリのユーザーIDとパスワード・車両情報が含まれます。クレジットカード情報は外部の決済の仕組みを使っていて会社が持っていないため、対象外です。イエローハットの店舗の利用者には影響がないと説明されています。
対象の方には、ホームページ、電話、アプリ内の通知、メール、SMS、書面で個別に連絡が行われています。専用の問い合わせ窓口も設けられています。
いますぐできること
- ２りんかんアプリと同じパスワードを他のサービスでも使っていれば、そちらのパスワードを変更する
- ２りんかんを名乗るメール・SMS・電話で、個人情報や支払いを求められても応じない。気になるときは公式サイトの窓口に自分から問い合わせる
- アプリの再開後に案内される手順に従って、新しいパスワードを設定する
何が起きたのか
2026年4月20日の夕方、２りんかんの会員専用サーバーへの第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかりました。会社はネットワークを遮断するなどの緊急対応を取り、「２りんかんアプリ」の一部サービスを止めました。4月23日に漏えいの可能性を公表し、5月1日には対象が最大3,455,754人になると発表しました。6月19日の最終報で、調査の結果、3,179,454人分の会員データが取得されたと確定しました。
なぜ起きたのか・なぜ広がったのか
調査会社が記録（ログ）を分析した結果、「アプリの仕組み（API）を悪用した不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。」で会員データが取得されたと会社は説明しています。どのような使われ方をしたのかなど、細かい手口は公表されていません。アプリを使っていないポイント会員やモバイル会員も対象に含まれていたのは、会員専用サーバーに会員全体の情報が保管されていたためです。
いまの状況2026-06-19 時点
アプリは一部のサービスを止めたまま作り直しが進められており、2026年10月をめどに再開する予定です。再開するときは全会員をいったんログアウトさせ、新しいパスワードの設定を必須にするとしています。止まっている間も、ネット予約は使え、ポイントは電話番号で加算でき、期限を迎えるオイル会員の特典は無償で延長されています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への被害届も行われました。
企業として考えたいこと
自社のアプリの裏側で動く仕組み（API）が、想定外の使われ方をしたときに大量の会員データを返してしまわないか、確かめたことはあるでしょうか。
技術的な要約
イエローハットの連結子会社でバイク用品店「２りんかん」を運営する２りんかんイエローハットは、2026年4月20日夕刻に会員専用サーバーへの第三者による不正アクセスを検知し、ネットワーク遮断などの緊急措置を取った。4月23日の第一報で氏名・住所・電話番号・生年月日・性別・メールアドレス・会員番号・ポイント残高・アプリユーザーID・アプリパスワード・車両情報の11項目が漏えいした可能性を公表し、5月1日の第二報で対象を最大3,455,754名分とした。6月19日の最終報では、調査会社のログ解析により「アプリの仕組み（ＡＰＩ）を悪用した不正アクセス」で会員データが取得されたと特定し、件数を3,179,454名分に確定した。クレジットカード情報は外部決済で保持しておらず対象外。アプリは一部サービスを停止したまま再構築中で、2026年10月目途の再開時に全会員を一斉ログアウトし新パスワード設定を必須とする方針。4か月後の8月には親会社イエローハット本体のWEB作業予約システムでも別の不正アクセス（最大1,801,499名）が公表された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認公式最終報（6/19）は原因を「アプリの仕組み（ＡＰＩ）を悪用した不正アクセス」と説明し、調査会社のログ解析で会員データが取得されたことを特定したとする（確定）。第一報・第二報の段階では「会員専用サーバーへの第三者による不正アクセス」とのみ表現。悪用されたAPIのエンドポイント、認可不備（他会員IDを指定して取得できるIDOR/BOLA型か）、認証回避か、正規アカウントでの大量呼び出しか、レート制限の有無、APIキーやトークンがアプリから抽出されたか、などの技術的詳細はいずれも非公表。報道（セキュリティ対策Lab）はIDOR等を一般論として例示しているが、本事案で確認された不備ではないと同記事自身が断っている。アプリ外の会員（ポイント会員・モバイル会員）も対象であることから、APIの背後の会員専用サーバーがアプリ利用者以外の全会員データを保持していたことは事実として読み取れる。
- 脆弱性
- CVE 非公表公表で確認２りんかんアプリのAPI（会員専用サーバー）公式は『アプリの仕組み（ＡＰＩ）を悪用』とのみ説明。脆弱性の種類（認可不備、認証不備、レート制限欠如、APIキー露出等）、悪用期間、リクエスト数は非公表。2026-10-10時点でCVE等の採番は該当なし（自社アプリのため）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 被害拡大防止のため「２りんかんアプリ」の一部サービスを停止（4/21に公式アプリ障害を告知）。システム再構築のため停止が長期化し、6/19に2026年10月目途の再開を告知。停止中の代替策として、ネット予約はアプリ有無に関わらず利用可、ポイント加算は電話番号検索で可能（使用時は本人確認）、4/21〜9/30に期限を迎えるオイル会員特典を無償延長。店舗営業自体の停止は公表されていない。期間：2026-04-21頃〜（2026年10月目途に再開予定。10/10時点で公式サイトに再開告知は確認できず）
- データ
- 確定上限 3,455,754確定 3,179,454人氏名住所電話生年月日性別メール会員IDその他（アプリユーザーID・アプリパスワード〔保存形式は非公表〕・ポイント残高・車両情報）第一報（4/23）は件数未定で11項目の『可能性』。第二報（5/1）で最大3,455,754名分（第三者機関の精査による上限値）。最終報（6/19）でログ解析により3,179,454名分の『取得』を特定（276,300名の下方修正）。対象は２りんかん（旧ドライバースタンド含む）のポイント会員・モバイル会員・アプリ会員。退会者を含むかは非公表。クレジットカード情報は外部決済システムを利用し社内に保持していないため対象外。アプリパスワードが平文かハッシュかは公表されておらず、本台帳では『平文PW』に分類していない（判明すれば④の再判定対象）。車両情報について報道（BSRweb）は車種・排気量・フレーム番号を含むとする。項目ごとの件数内訳（パスワードを持つアプリ会員の数など）は非公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他組織への波及は公表されていない。親会社イエローハットは、２りんかんの会員サーバーは独立管理でイエローハット店舗の利用者には影響がないと説明。ただし8月には親会社本体の別システム（WEB作業予約システム）でも不正アクセスが発生している（別事案 2026-yellowhat-yoyaku）。
時系列
技術解説
攻撃の構造：アプリAPIの背後に全会員DB 事実
公式に確定している事実は、①検知は4月20日夕刻、②原因は『アプリの仕組み（ＡＰＩ）を悪用した不正アクセス』、③ログ解析で3,179,454名分の会員データが『取得』された、の3点である。注目すべきは、取得対象がアプリ会員だけでなく、ポイント会員・モバイル会員・旧ドライバースタンド会員まで含む点で、アプリ向けAPIの背後にある会員専用サーバーが全チャネルの会員データを一元保持し、アプリAPI経由でそれらに到達できたことになる。漏えい項目にはアプリユーザーIDとアプリパスワードが含まれるが、保存形式（平文／ハッシュ）は第一報から最終報まで一度も明示されていない。カード情報は外部決済のため対象外だった。
どんなAPI悪用だったのか（推測） 解釈
公式は手口の種類を明かしていないが、『APIを悪用して300万件超を取得』という結果からは、大きく三つの型が考えられる。(a)会員番号やユーザーIDをパラメータで受け取り、トークンの所有者と照合せずに他人のレコードを返すIDOR/BOLA型（OWASP API Security Top10のAPI1）。連番の会員番号なら単純な列挙で全件取得できる。(b)アプリ内に埋め込まれたAPIキーや管理用エンドポイントをリバースエンジニアリングで抽出し、画面には出ない内部APIを直接呼ぶ型。JPCERT/CCは10月の注意喚起で、公開スマホアプリを解析して内部APIを狙う手口を一般論として報告している（本件への言及はない）。(c)いずれの場合も、300万件超の取得を許したのはリクエスト数・取得件数の上限（レート制限）や異常検知が機能していなかったためと考えるのが自然である。最大値（345万）から確定値（318万）への下方修正は、ログ上で実際に応答が返った会員を数え直した結果と読める。いずれも推測で、公式の技術的説明はない。
被害が大きくなった理由：全会員・全項目を返せる設計と長期保持 解釈
アプリが画面表示に必要とするのは本人の数項目のはずだが、取得された項目は住所・生年月日・車両情報・パスワードまで11項目に及ぶ。APIがレコードを丸ごと返していたか、取得経路が複数あった可能性がある。また、旧ドライバースタンド会員や、モバイル会員（公式サイトのお知らせ欄では2026年2月10日に『モバイルサイト（ポイントメンバーズサイト）終了』が告知されており、その会員区分とみられる）のデータも同じサーバーに残っていたことが、件数を押し上げた要因と考えられる。業務上の必要がなくなった会員区分のデータを同じ到達範囲に置き続けたことのコストが、318万件という規模に表れている。対照的に、カード情報は『持っていなかった』ために守られた。持たないことが最強の防御であることを、良い側と悪い側の両面から示した事案と言える（解釈）。
公表の評価：段階的開示は丁寧だが技術情報は乏しい 解釈
検知（4/20）から第一報（4/23）まで3日、件数上限の提示（5/1）まで11日、最終報（6/19）まで約2か月で、件数を『可能性の上限』と『取得確定』に分けて段階的に示した点は利用者にとって判断しやすい。親会社も各報を同日に適時開示しており、グループとしての開示は揃っている。一方、4/21の告知は『アプリ障害』と表現し不正アクセスに触れていない（画像告知のため本文テキストもない）。最終報でも、APIのどの不備か、悪用期間（いつから取得されていたか）、パスワードの保存形式、項目別の件数が示されておらず、利用者が他サービスのパスワード変更の緊急度を判断する材料が不足している。全会員の一斉ログアウトと新パスワード必須化という再開方針は、パスワードが攻撃者の手にある前提で動いていることを示唆する。
4か月後のグループ内再発との比較 解釈
8月18日、親会社イエローハット本体の『WEB作業予約システム』で不正プログラムによる攻撃が検知され、最大1,801,499名の氏名・電話番号・メールアドレス・会員番号が漏えいした可能性が8月28日に公表された（別事案 2026-yellowhat-yoyaku）。イエローハットは本体と２りんかんのシステムは独立管理と説明しており、同一攻撃者・同一経路を示す公表や報道は確認できない。事実として共通するのは、①会員サーバーへの到達を許した、②カード情報は非保持で対象外、③件数が100万人を超えた、の3点。異なるのは、２りんかんが『API悪用』（アプリ経由の正規インタフェースの濫用）で件数を確定させたのに対し、本体は『不正プログラム』（マルウェア）で件数は上限値のまま、パスワード・車両情報は保持していない点である。グループとして4月の事案後にどこまで横断点検したかは公表されていない（解釈を含む）。
対応
- 封じ込め
- 4/20夕刻の検知後、ネットワーク遮断などの緊急措置。「２りんかんアプリ」の一部サービスを停止し、外部専門家・調査会社と調査、システム再構築とアプリ本体のセキュリティ強化・通信監視強化を実施。再開（2026年10月目途）時に全アプリ会員を一斉ログアウトし新パスワード設定を必須化。停止中はネット予約継続、電話番号でのポイント加算、オイル会員特典期限の無償延長で代替。
- 公表の仕方
- 4/23第一報（11項目の漏えい可能性、件数未定）、5/1第二報（最大3,455,754名、専用窓口設置）、6/19最終報（API悪用と特定、3,179,454名で確定）。いずれも２りんかん公式サイトの同一ページを更新し、親会社イエローハットが同日に適時開示。対象者へはホームページ、電話、アプリ内通知、メール、SMS、書面で個別通知。不審なメール・SMS・電話への注意と、パスワード使い回しの変更を呼びかけ。
- 当局対応
- 個人情報保護委員会：報告（最終報時点で確報を提出し連携継続）
- 警察：被害届を提出し捜査に協力（第二報で公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| アプリAPIで他会員のデータに到達できた（認可の詳細は非公表） | 全エンドポイントでオブジェクト単位の認可（リクエストのユーザーIDではなくトークンのsubjectからレコードを引く）を必須化し、会員番号は連番を避けUUID等にする。BOLA/IDORを検出するテスト（他人のIDに差し替えて403になるか）をCIに組み込み、OWASP API Security Top10に沿ってリリース前に診断する |
| 300万件超の取得を許した（大量取得の検知・抑止が働かなかった） | API Gatewayでユーザー・トークン・IP・デバイス単位のレート制限と、1トークンあたりの取得件数上限を設定。会員参照APIの呼び出し数・異なる会員IDへのアクセス数をメトリクス化し、平常値の数倍で自動ブロックとオンコール通知を行う |
| アプリ以外の会員区分（モバイル・旧ドライバースタンド）までアプリAPIの到達範囲にあった | チャネルごとに参照可能な会員データを分離（ビュー・スキーマ・DBユーザーを分ける）し、サービス終了した会員区分のデータは保持期限を定めて削除または別保管庫へアーカイブする |
| APIが画面表示に不要な項目まで返していた可能性（11項目流出） | レスポンスをDTOで明示的に定義しフィールドをallow-list化（過剰なデータ露出の防止）。パスワード関連は応答に一切含めず、Argon2id/bcrypt等で保存し、保存形式を公表文に明記できる状態にしておく |
| アプリに埋め込まれた秘密情報やクライアント側の制御は解析される前提が必要 | アプリにAPIキー・管理用エンドポイントを埋め込まず、認可はすべてサーバー側で判定。App Attest/Play Integrity等で正規アプリからの呼び出しを確認しつつ、それを唯一の防御にしない |
自組織などでの確認項目
- 自社アプリのAPIで、ログイン済みユーザーがリクエストのIDを書き換えたら他人のデータが返らないことを、いつ・誰が・どのテストで確認しているか。
- 会員参照APIが1時間に10万回呼ばれたら、何分後に誰が気づき、どこで止まる設計になっているか。
- サービスを終了したチャネル（旧サイト、旧ブランド、モバイル会員など）の会員データは、今どこにあり、現行のAPIから到達できる範囲に残っていないか。
- グループ会社や子会社で同種の事故が起きたとき、自社（本体）のシステムを何日以内にどの観点で横断点検するルールがあるか。
未解明点
- 悪用されたAPIの具体的な不備（認可不備・認証回避・APIキー露出・レート制限の欠如など）とエンドポイント
- 不正なAPI呼び出しが始まった日時（侵入日）と取得が続いた期間、検知の契機
- アプリパスワードの保存形式（平文・可逆暗号・ハッシュ）と、パスワードを含む会員の人数
- 退会者を含むか、各会員区分（ポイント・モバイル・アプリ）別の件数
- 攻撃者の正体・目的、データの売買・公開の有無（10/10時点で犯行声明や販売情報は確認できず）
- 4/21の『アプリ障害』告知および3/25の『アプリ通信障害』告知（いずれも画像のみ）と本件との関係
- 2026年10月目途とされたアプリ再開の実施状況
出典
- 1２りんかんイエローハット2026-04-23公式本文確認済
- 2２りんかんイエローハット2026-04-21公式本文確認済
- 3イエローハット2026-04-23公式未確認
- 4イエローハット2026-06-19公式未確認
- 5ScanNetSecurity2026-05-12報道本文確認済
- 6ScanNetSecurity2026-07-01報道本文確認済
- 7セキュリティ対策Lab（Rocket Boys）2026-04-24報道本文確認済
- 8セキュリティ対策Lab（Rocket Boys）2026-05-07報道本文確認済
- 9セキュリティ対策Lab（Rocket Boys）2026-06-22報道本文確認済
- 10ASCII.jp2026-05-07報道本文確認済
- 11BSRweb2026-05-07報道本文確認済
- 12共同通信（OANDA掲載）2026-05-01報道本文確認済
- 13かぶとれ2026-08-28報道本文確認済
- 14JPCERT/CC2026-10-08研究者本文確認済
- 15セキュリティ対策Lab（Rocket Boys）2026-10-01報道本文確認済
- 16coki2026-08-28報道本文確認済
- 17２りんかんイエローハット2026-06-19公式本文確認済