イエローハット、WEB作業予約システムへの侵入で1,797,124名分の漏えいを確認

事案の概要データ

図解：この事故の構造

何が起きたのか

イエローハットは2026年8月28日に初報を公表し、10月15日に調査結果として1,797,124名分の漏えいを確認したことを公表しました。初報では「最大1,801,499名」とされていた数字が、約4,000名分絞り込まれた形です。

フォレンジック調査により、WEB作業予約システムへの不正侵入が確認されました。具体的な手口は公表されていません。

「最大」から「確定」までの1か月半

この事案で注目したいのは、調査の進め方です。初報では「最大1,801,499名」という上限値を示し、約1か月半かけて「1,797,124名」という確定値にたどり着いています。

情報漏えいの調査では、まず「アクセスされうる範囲」を把握し、次に「実際にアクセスされた範囲」を特定していきます。前者は比較的早く分かりますが、後者はログの精査が必要で時間がかかります。

初報で上限値を出すのは、利用者が早く自衛できるようにするためです。「調査中なので何も言えない」と沈黙するより、「最大でこの範囲」と示したほうが、対象者はパスワード変更などの行動を取れます。

そして確定値が出たら、改めて公表する。この2段階の流れは、2026年9月のさくらインターネット（第一報583→第三報951アカウント）や、6月のKDDI（最大1,422万件→確定1,223万件）でも見られました。

車の予約情報という組み合わせ

カー用品店の作業予約システムには、氏名・連絡先に加えて、所有している車種、車検や点検の時期といった情報が含まれます。

これらは、自動車関連の訪問販売や、車検・点検を装った詐欺の材料として有効です。「そろそろ車検の時期ですね」と車種まで言い当てられれば、多くの人は正規の業者だと信じます。

対象となった方は、身に覚えのない車関連の連絡に注意してください。

時系列で見る経過

• 2026年8月WEB作業予約システムへの不正侵入が発生
• 2026年8月28日初報を公表。最大1,801,499名が対象と発表
• 2026年8月〜10月フォレンジック調査により、実際にアクセスされた範囲を精査
• 2026年10月15日1,797,124名分の漏えいを確認したと公表

中小企業が学ぶべきポイント

1. 初報は上限値でよい。沈黙するより、利用者が自衛できる情報を早く出す。
2. 確定値が出たら改めて公表する。初報で終わらせない。
3. 車種・車検時期などの情報は、訪問販売や点検詐欺の材料になる。
4. 予約システムは「本業の脇にある仕組み」として管理が手薄になりやすい。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope