Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-yellowhat-yoyaku小売・EC最終確認 2026-10-16 21:22

イエローハットWEB作業予約システムへの不正プログラムによる攻撃（会員最大1,801,499人分の漏えいのおそれ）

公表日

株式会社イエローハット · 上場
調査中不正アクセスマルウェア感染

自動車用品店のイエローハットで、Webの作業予約システムが攻撃を受け、会員 最大1,801,499人分の氏名・電話番号・メールアドレス・会員番号が漏えいしたおそれがあります。

対象者は？

イエローハットの会員のうち、会員サーバーに情報が保管されていた一部の方で、最大1,801,499人です（実際に持ち出された件数は公表されていません）。対象の情報は氏名、電話番号、メールアドレス、会員番号です。クレジットカード情報、パスワード、車両の情報はこのシステムで持っていないため対象外です。グループの他のブランドは別のシステムのため、影響はないとしています。

対象の方には、メール・SMS・電話・書面で順次案内するとしています。専用窓口（0120-405-092、10:00〜19:00。10月12日までは毎日、13日以降は平日）でも問い合わせできます。

イエローハットのお知らせ（2026年8月28日） ↗

いますぐできること

  • イエローハットを名乗るメールやSMSのリンク・添付ファイルは開かず、公式サイトやアプリから確認する
  • 会員番号や作業予約の話を持ち出す電話でも、個人情報や支払いを求められたら応じない

何が起きたのか

2026年8月18日の朝、イエローハットは「WEB作業予約システム」への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に気づき、すぐに外部との接続を切って、システムを止めるなどの緊急の対応をとりました。調べたところ、このシステムが不正なプログラムによる攻撃を受け、会員サーバーにある一部の会員の情報が外に漏れた可能性があると分かりました。会社は8月28日に公表しました。

なぜ起きたのか・なぜ広がったのか

侵入の経路や、不正なプログラムの種類は、まだ公表されていません。公表によると、作業予約のシステムへの攻撃によって、その先の会員サーバーに保管されていた情報が漏えいした可能性があるとされています。同じグループでは4月にも、子会社の２りんかんイエローハットで約318万人分の会員データが取得される別の事案がありましたが、手口が同じかどうかは公表されていません。

いまの状況2026-08-28 時点続報待ち

会社は8月28日の時点で、システムに必要な対策は終わったと説明していますが、具体的な内容は公表されていません。個人情報保護委員会に報告し、警察にも相談しています。実際に持ち出された件数、侵入の経路、予約システムを止めていた期間は、まだ発表されていません。

企業として考えたいこと

予約や問い合わせのような「入り口」のシステムから、会員情報の入った中心のサーバーまで、どこまで手が届く作りになっているでしょうか。

技術的な要約

自動車用品大手のイエローハットは、2026年8月18日朝に「イエローハットWEB作業予約システム」への不正アクセスを検知し、直ちに外部接続を遮断してシステム停止を含む緊急措置を取った。8月28日15時30分には、会員サーバー内の一部会員の情報が最大1,801,499名分漏えいした可能性があると公表した。10月15日の第二報では、第三者機関の調査結果として原因は情報システムへの不正侵入と発表し、漏えいした件数を1,797,124件と特定した。8月時点の氏名・電話番号・メールアドレス・会員番号に加え、住所・生年月日・性別・ログインID・パスワードの漏えいも確認された。クレジットカード情報と車両情報は含まれない。WEB作業予約システムは強化・改修を終え、8月末に再稼働している。4月には連結子会社の２りんかんイエローハットがAPI悪用で3,179,454名分の会員データを取得された事案があり、同一グループで4か月後に再び大規模漏えいが起きた。

公開情報が限られている点について
公式発表（イエローハット公式ページ・TDnet適時開示PDF）はいずれも取得できず未確認のため、公式内容は複数の報道（INTERNET Watch、ScanNetSecurity、セキュリティ対策Lab、innovaTopia、coki、共同通信）の一致する記述から整理した。公式の続報は10/10時点で出ておらず、侵入日・手口・確定件数は公表されていないためnull。研究者による技術解析や攻撃者の主張は見つからなかった。
侵入
—
被害発生
—
検知
2026-08-18
第1報公表
2026-08-28 15:30
最新続報
2026-10-16
侵入 → 検知
—
侵入日が非公表
検知 → 公表
10日
データ（上限）
180.1万人
確定 1,797,124
波及先
—

攻撃の分類

侵入口
不明公表で確認
公式発表の表現は『イエローハットWEB作業予約システムに対する不正プログラムによる攻撃』のみで、不正プログラムの種類（Webシェル、情報窃取型マルウェア等）、設置された場所（予約システムのWebサーバーか、会員サーバーか）、侵入経路（脆弱性悪用、認証情報流用、委託先経由等）はいずれも非公表（報道各社も同様に『詳細不明』と整理）。予約システムを入口として、その先にある会員サーバー内の情報に到達された構図であることは公表文から読み取れる。２りんかん事案のような『API悪用』との説明はなく、同一経路とする公表・報道もない。
脆弱性
CVE 非公表不明
イエローハットWEB作業予約システム（製品名・開発元は非公表）
不正プログラムが送り込まれた原因となった脆弱性・設定不備の有無や内容は非公表。自社開発か、予約SaaS・パッケージ製品か、運用委託先があるかも公表されていない。同社は8/28時点で『システム上必要な対策は完了』と説明。
攻撃者
特定・主張なし
ATT&CK
T1105 Ingress Tool TransferT1213 Data from Information Repositories

影響

業務停止
あり 8/18朝の検知後、外部接続を遮断し、WEB作業予約システムの停止を含む緊急措置を実施。予約受付がいつまで停止したか、店舗での作業受付への影響は公表されていない。8/28時点で必要なシステム対策は完了と説明。
データ
おそれ上限 1,801,499確定 1,797,124人
氏名電話メール会員ID住所生年月日性別
公表は『最大1,801,499名』の漏えいの可能性（上限値）で、実際に持ち出しが確認された件数は非公表。対象はイエローハット会員サーバーに保管されている『一部の会員』の氏名・電話番号・メールアドレス・会員番号の4項目。クレジットカード情報・パスワード・車両情報は本システムで保持していないため対象外。退会者を含むか、取得時期の範囲は非公表。グループ他社とは別の管理システムのため他ブランド利用者への影響はないと説明。
波及先
—
金銭影響
—
サプライチェーン
他組織への波及は公表されていない。委託先・製品ベンダーの関与も非公表。グループ会社の２りんかんイエローハットでは4月に別の不正アクセス（2026-2rinkan）があったが、イエローハットは本件システムをグループ他社とは独立した管理システムと説明している。

時系列

  1. 2026-04-20
    【グループ内の先行事案】連結子会社の２りんかんイエローハットが会員専用サーバーへの不正アクセスを検知（後にAPI悪用と特定）104
  2. 2026-06-19
    【グループ内の先行事案】２りんかんが最終報で3,179,454名分の会員データ取得を確定。イエローハットも第三報を適時開示1012
  3. 2026-08-18
    朝、WEB作業予約システムへの不正アクセスを検知。直ちに外部接続を遮断し、システム停止を含む緊急措置を開始1456
  4. 2026-08
    詳細調査で、不正プログラムによる攻撃により会員サーバー内の一部会員情報が外部に漏えいした可能性が判明。個人情報保護委員会へ報告、警察へ相談（各日付は非公表）148
  5. 2026-08-28 15:30
    イエローハットが公表・適時開示（最大1,801,499名、4項目、カード・パスワード・車両情報は非保持）。専用窓口0120-405-092を設置（10/12まで全日、10/13以降平日、10:00〜19:00）125812
  6. 2026-08-28 17:41
    共同通信が報道し、4月の２りんかん事案（約318万人）にも言及7
  7. 2026-08-31
    INTERNET Watchが報道。対象会員には準備が整い次第メールや電話で連絡予定と伝える6
  8. 2026-09-02
    ScanNetSecurityが報道3
  9. 2026-10-10
    本台帳の調査時点で公式の続報（件数確定・原因特定）は確認できず（報道ベース）911
  10. 2026-04-23
    【グループ内の先行事案】２りんかんイエローハットが不正アクセスを公表。検知は4/20夕刻で、公表は3日後。この時点で対象人数は示されていなかった5
  11. 2026-04-20 04:54
    【グループ内の先行事案】２りんかん事案で、攻撃者が午前4時54分からAPIを不正に呼び出したと報じられた8
  12. 2026-05-01
    【グループ内の先行事案】２りんかんが第二報で対象を最大3,455,754名分と公表。6/19の最終報で3,179,454名分に特定され、約27万人分の下方修正となった5
  13. 2026-10-15 15:30
    イエローハットが「不正アクセスによる個人情報漏えいに関する【第二報】」を開示。第三者機関の調査結果として、原因は情報システムへの不正侵入と発表した。最大1,801,499件の可能性としていたが、1,797,124件の漏えいを特定。8月時点の4項目に加え、住所・生年月日・性別・ログインID・パスワードの漏えいも確認した。クレジットカード情報と車両情報は含まれない。WEB作業予約システムはセキュリティ強化・改修を終え、8月末に再稼働した1215

技術解説

公表された事実：予約システムを入口に会員サーバーへ 事実

公式に確定している事実は、①8月18日朝に検知、②『WEB作業予約システムに対する不正プログラムによる攻撃』、③『イエローハット会員サーバー内に保管されている一部の会員様の情報』が外部へ漏えいした可能性、④最大1,801,499名・4項目（氏名、電話番号、メールアドレス、会員番号）、⑤カード・パスワード・車両情報は同システムで非保持、⑥外部接続遮断とシステム停止、個人情報保護委員会への報告と警察への相談、⑦8月28日15時30分に公表、である。検知から公表まで10日。件数は上限値のままで、持ち出しの確定件数、侵入時期、不正プログラムの種類、侵入経路は公表されていない。同社は他ブランドへの影響はないとしている。

攻撃の構造（推測）：予約フロントから会員DBへの到達 解釈

『予約システムへの不正プログラム』で『会員サーバーの情報』が漏れたという記述から、予約システム（インターネット公開のWebアプリ）は会員ログインや会員情報の自動入力のために会員サーバーへ参照接続を持っていたと考えられる。不正プログラムが予約システム側に置かれたなら、その接続権限（DB接続情報やAPIトークン）を使って会員データを読み出した可能性があり、典型例はWebシェルの設置や、予約フォーム処理への改ざんによる入力値の窃取である。後者の場合、件数上限は『会員サーバーの全件』ではなく『期間中に予約・ログインした会員』に近くなるが、180万人という規模は前者に近い印象を与える。いずれも推測で、公式は不正プログラムの種別すら明かしていない。予約システムが4項目しか保持していなかったこと（カード・パスワード・車両情報を持たない）が被害項目を限定した点は、事実から言える設計上の効果である。

２りんかん事案（4月）との比較：同じグループ、違う入口 解釈

２りんかん事案は『アプリの仕組み（API）を悪用』して会員データ3,179,454名分を『取得』（確定）、項目は11（住所・生年月日・アプリパスワード・車両情報を含む）。本件は『不正プログラムによる攻撃』で最大1,801,499名の『可能性』、項目は4に限られる。共通点は、①公開されたフロント（アプリAPI／Web予約）の背後にある会員サーバーへ到達された、②カード情報を自社で持たない設計で対象外になった、③件数が100万人を超えた、の3点。相違点は、手口（正規インタフェースの濫用 vs マルウェア）、件数の確度（確定 vs 上限）、検知から最終的な件数提示までの開示の進み方である。イエローハットはシステムが独立管理であると説明し、同一攻撃者・同一経路を示す公表や報道はない。4月以降に本体側でどのような横断点検をしたかは公表されておらず、『独立したシステムだから影響はない』という説明が、『独立したシステムも同じ水準で点検した』ことを意味しない点は注意したい（解釈）。

公表の評価：早い上限提示、乏しい技術情報 解釈

検知から10日で件数上限・項目・非保持項目・窓口・通知手段（メール、SMS、電話、書面）をまとめて示し、同日に適時開示した点は、２りんかん事案で件数提示までに11日かかったのと比べて一度で必要情報を揃えている。他方、『不正プログラムによる攻撃』という表現は、マルウェアの種類も侵入経路も示さず、利用者側・同業他社側が自分の環境に引き寄せて対策を考える材料にならない。『必要な対策は完了』と述べつつ原因を明かしていないため、何を塞いだのかを外部から検証できない。また、同一グループで4か月の間に2件目となったにもかかわらず、グループとしての再発防止の枠組み（横断診断、共通の監視基盤など）への言及はない。10月10日時点で件数確定の続報もない（解釈）。

対応

封じ込め
8/18朝の検知直後に外部接続を遮断し、システム停止を含む緊急措置を実施。詳細調査とセキュリティ強化を進め、8/28時点で『システム上必要な対策は完了』と説明。具体的な対策内容（脆弱性修正、認証情報の更新、監視強化等）は非公表。
公表の仕方
8/28 15:30に公式サイト掲載と適時開示を同時に実施（最大1,801,499名、4項目、カード・パスワード・車両情報は対象外、他ブランドへの影響なし）。対象者にはメール・SMS・電話・書面で順次案内予定。専用窓口0120-405-092（8/28〜10/12は全日、10/13以降は平日、10:00〜19:00）。不審なメール・SMS・リンク・添付ファイルへの注意を呼びかけ。10/10時点で続報なし。
当局対応
  • 個人情報保護委員会：報告済み（8/28公表時点）
  • 警察：相談済み（8/28公表時点、被害届の提出は公表されていない）

教訓と対策

教訓具体的な対策
公開Web予約システムから会員サーバーの多数のレコードに到達できた予約システムから会員DBへの接続は『ログイン中の本人1件を返す』参照APIに限定し、DB直結や一括SELECT可能な資格情報を予約サーバーに置かない。会員サーバー側で呼び出し元ごとの件数上限とレート制限、通常パターンを外れた大量読み出しのアラートを設ける
不正プログラムの設置を許した（経路は非公表）Webサーバーのドキュメントルートと実行ディレクトリにファイル整合性監視（FIM）を入れ、新規ファイル・改ざんを即時通知。アプリ実行ユーザーから書き込み権限を外し、EDRを公開サーバーにも配備する。デプロイはイミュータブル（コンテナ再作成）にして常駐を困難にする
外向き通信の制御で持ち出しを止める設計予約システム・会員サーバーからのアウトバウンド通信を必要な宛先だけのallow-listにし、それ以外への接続と大量転送をプロキシ／VPCフローログで検知・遮断する
グループ会社の事故（4月）を受けた横断点検の有無が見えないグループ内で事故が起きたら、全社の外部公開資産（ASMで棚卸し）について同じ攻撃クラス（API認可、レート制限、マルウェア設置）を30日以内に点検するルールを定め、結果を経営に報告する。ログ保存期間（90日以上）と相関監視をグループ共通基盤で揃える
持っていない情報は漏れない（カード・パスワード・車両情報は対象外）各システムが保持するデータ項目を業務上の必要最小限に定義し、決済は外部決済代行のトークン化、認証は共通IDサービスに集約してアプリ側にパスワードを持たせない

自組織などでの確認項目

  1. 自社の予約・問い合わせなど『周辺の公開Webシステム』から、会員DBへ何件まで一度に読める権限が付いているか。それは本当に必要か。
  2. 公開サーバーに不明なファイルが置かれたとき、何分以内に誰が気づく仕組みがあるか。最後にその検知を試験したのはいつか。
  3. グループ会社・子会社で情報漏えいが起きたとき、本体や他のグループ会社のシステムをどの観点で、何日以内に点検するか決まっているか。
  4. 公表文で『不正プログラムによる攻撃』『必要な対策は完了』とだけ書くことは、利用者・取引先に対して十分な説明と言えるか。自社ならどこまで書くか。

未解明点

  • 不正プログラムの種類（Webシェル、改ざんスクリプト等）と設置場所、侵入経路・悪用された脆弱性
  • 侵入の開始日と滞留期間、検知の契機（8/18朝に何で気づいたか）
  • 実際に持ち出された件数（上限1,801,499名からの確定）と、『一部の会員』の範囲（退会者を含むか）
  • WEB作業予約システムの開発・運用主体（自社開発か、外部製品・委託先か）
  • ２りんかん事案（4月）を受けて本体システムに対して行った点検の内容と、両事案の攻撃者の同一性
  • システム停止期間と予約受付への影響
  • 攻撃者による犯行声明・データ販売の有無（10/10時点で確認できず）

出典

  1. 1
  2. 2
  3. 3
  4. 4
    イエローハット、サイバー攻撃で最大180万1,499名の個人情報漏洩の恐れ
    セキュリティ対策Lab（Rocket Boys）2026-08-30報道本文確認済
  5. 5
  6. 6
  7. 7
    イエローハット顧客情報漏えいか（共同通信配信）
    共同通信（OANDA掲載）2026-08-28報道本文確認済
  8. 8
  9. 9
    イエローハット情報漏洩：届いたSMSは本物か、0120-405-092と流出範囲
    一創（テックブログ）2026-09-01報道本文確認済
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14
  15. 15
  16. 16