イエローハットで最大180万1,499人分の情報が漏えいした可能性があります。ただし対象は氏名、電話番号、メールアドレス、会員番号の4項目まででした。同じグループでは4月にも漏えいが起きており、そちらは車両情報やパスワードを含む11項目に及んでいます。この差はどこで生まれたのでしょうか。
イエローハットは2026年8月28日、同社の「イエローハットWEB作業予約システム」が不正プログラムによる攻撃を受け、会員サーバー内の情報が外部へ漏えいした可能性があると発表した。8月18日朝に不正アクセスを検知し、直ちに外部接続を遮断した。対象は最大1,801,499名分で、項目は氏名、電話番号、メールアドレス、会員番号である。クレジットカード情報、パスワード、車両情報は当システムで保持していないため漏えいはないとしている。
同システムはグループ他社の予約システムとは異なる管理システムを採用しており、他ブランドの顧客への影響はない。同社はシステムの停止を含む措置を実施し、調査とセキュリティ強化を進め、既にシステム上の対策を完了したという。個人情報保護委員会への報告と警察への相談も済ませた。
【何が漏れ、何が漏れなかったのか】
対象になったのは4項目だった
イエローハットが2026年8月28日に公表した内容を、まず順に見ていきます。
不正アクセスを受けたのは「イエローハットWEB作業予約システム」です。来店予約やオイル交換、タイヤ交換といった作業の予約に使われてきたシステムで、会員情報を管理するサーバーがその先にありました。同社は原因を「不正プログラムによる攻撃」と説明しています。
検知は8月18日（火）の朝でした。同社は直ちに当該システムの外部接続を遮断し、その後の影響範囲の調査を進める過程で、会員情報の一部が外部へ漏えいした可能性があることを確認しています。
漏えいした可能性がある対象データ数は、最大1,801,499名分。項目は氏名、電話番号、メールアドレス、会員番号の4つです。
そして、リリースにはこう続きます。クレジットカード情報、パスワード、車両情報は「当システムでは保持していない」ため、漏えいはない。
同社はこの3つについて、そもそも当該システムがデータを持っていなかったことを理由に、漏えいはないと説明しています。当たり前のようでいて、この説明が公表文のなかで実際に働いた例として、今回は記録しておく価値があります。
対応としては、不正アクセスの確認後にシステムの停止を含む措置を実施し、詳細な調査とセキュリティ強化を進めたうえで、既にシステム上の対策を完了したとしています。個人情報保護委員会への報告と警察への相談も済ませました。専用相談窓口も開設されています。
なお同社は東京証券取引所プライム市場の上場企業であるため、この公表は取引所の適時開示としても行われています。開示の時刻は8月28日15時30分でした。
4か月前、同じグループで起きたこと
この事案を1件だけで読むと、規模の大きい情報漏えいのひとつ、という以上のものが見えにくくなります。同じイエローハットグループには、比較の対象になる事案がすでにあるからです。
連結子会社の株式会社2りんかんイエローハットは、2026年4月20日（月）の夕刻、会員専用サーバーへの不正アクセスを検知しました。公表は3日後の4月23日です。この時点では、対象人数は示されていませんでした。
5月1日の第二報で、対象データ数が「最大3,455,754名様分」と公表されます。対象は2りんかん（旧ドライバースタンドを含む）のポイント会員、モバイル会員、アプリ会員でした。
そして6月19日、第三者の調査会社による調査が完了し、最終的な報告が出ます。ここで件数は3,179,454名分に特定されました。第二報の「最大3,455,754名様分」からの下方修正であることも、報告のなかで明記されています。
侵入の経路も、この最終報で判明しました。アプリの仕組み、すなわちAPIを悪用した不正アクセスです。攻撃者はモバイルアプリ内の情報を窃取し、アプリを使わずに個人情報を取得できるAPIを呼び出して、顧客のWebサーバーから会員データを取得していました。
漏えいした項目は、氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、アプリユーザーID、アプリパスワード、ポイント残高、車両情報の11種類です。バイクの車種や排気量を含む車両情報まで含まれており、会員一人ひとりの生活像がかなりの解像度で再構成できる範囲でした。
「保持していない」という同じ説明
ここで注目したいのは、11項目が漏えいしたこの事案でも、クレジットカード情報だけは漏えいしていない点です。
理由の説明は、8月の事案とほぼ同じ形をしています。2りんかんの報告は、外部の決済システムを利用しており社内で情報を保持していないため、と述べています。
つまりイエローハットグループは、4か月のあいだに2つの異なるシステムが攻撃を受け、どちらでもカード情報を漏えいの対象から外しました。少なくともカード情報について、両社が漏えいしなかった理由として挙げているのは、対象となったシステムや社内に情報を保持していなかったことです。
検知の速さでも、遮断の的確さでもありません。攻撃が始まるよりずっと前に、そこにカード番号を置かないと決めていたことが、そのまま結果になっています。
説明が及ぶ範囲が違っていた
2件を並べると、この「保持していない」という説明が及ぶ範囲の違いも見えてきます。
2りんかんでカード情報を守った論理は、アプリパスワードにも車両情報にも及びませんでした。アプリのログインに使うパスワードも、バイクの車種や排気量も、その会員サーバーの中にありました。
一方、今回のイエローハットでは、同じ論理がカード情報だけでなく、パスワードと車両情報にも及んでいます。作業予約という用途のシステムに、車両情報が置かれていなかったことは、少し意外にも思えるところです。
もちろん、この差だけで2件の被害の重さが決まったと言い切ることはできません。侵入の経路が同じだったかどうかは公表情報からは分かりませんし、攻撃者がどこまで到達したのかも明らかになっていません。それでも、両社の公表文が並べている事実の範囲では、この差ははっきりしています。
セキュリティの議論は、どう検知するか、どう遮断するかに集まりがちです。ただ、この2件を通して見えるのは、事故が起きたときに何を守れているかの一部は、事故が起きる前にどのシステムへ何を持たせると決めた時点で先に決まっている、ということです。
日本の個人情報保護法にも、利用する必要がなくなった個人データを遅滞なく消去する努力義務があります。今回の「そもそもシステムに持たせない」という設計と同じ規定ではありませんが、情報を持ち続ける必要性を問い直すという点では接点があります。とはいえ実務では、この問い直しは「あとで使うかもしれないから残す」に押し負けやすいものでもあります。今回は、その判断が事故のときにだけ姿を現す種類の備えであることを示しています。
分かれていたシステム
今回のリリースには、もうひとつ目を引く一文があります。イエローハットWEB作業予約システムはグループ他社の予約システムとは異なる管理システムを採用しているため、他ブランドの顧客への影響はない、という説明です。
イエローハットグループには、カー用品のイエローハットのほかに、バイク用品の2りんかん、バイク館、自転車のワイズロードといったブランドがあります。それぞれが会員を抱えています。
システムを分けて持つことは、統合の効率と引き換えに、運用コストと管理の手間を増やす選択です。それでも分かれていたことが、今回の影響範囲をイエローハット会員に限定できたという説明の根拠になっています。4月の事案でも、2りんかんの侵害がイエローハット店舗や他ブランドの顧客情報に影響していないことが確認されており、逆方向でも同じ構図が働きました。
もっとも、システムの分離と、組織としての統制は別の話です。システムが分かれていても、脆弱性管理やインシデントで得た知見を横断的に共有することはできます。公表資料からは、グループ横断でそれがどのように行われているかまでは分かりません。
180万という数字の現在地
対象データ数の1,801,499名分は、現時点の上限値です。
この「最大」という語の重みは、同じグループの前例が教えてくれます。2りんかんの事案では、5月時点の「最大3,455,754名様分」が、詳細な調査を経て6月に3,179,454名分へ特定されました。約27万人分の下方修正です。
第一報や中間報告の段階で示される数字は、「この範囲に収まる」という上限であって、実際に持ち出されたことが確認された件数とは限りません。今回の180万1,499人分も、続報で動く可能性があります。
ただし、数字が動くかどうかを見守ることと、自分が対象かどうかを知ることは別です。自分が対象かどうかは公表資料だけでは判断できません。同社は、対象となる可能性のある人へ電子メール、SMS、電話、書面で個別に案内するとしています。
利用者がいま気をつけること
利用者側でいまできることは、それほど多くありません。
今回の公表内容にパスワードとカード情報は含まれていないため、この発表を理由にパスワードの一斉変更へ動く必要はありません。ただし、他のサービスと同じパスワードを使い回している場合は、本件とは別に見直しておくと安心です。
むしろ注意しておきたいのは、氏名と電話番号とメールアドレスと会員番号が、ひとまとまりで外部に漏えいしている可能性、という状態そのものです。
この4点は、フィッシング、つまり実在の企業を装って偽サイトへ誘導したり、情報を入力させたりする手口の材料として、かなり使い勝手のよい組み合わせです。名前で呼びかけ、会員番号を添えて「イエローハットです」と名乗る連絡は、それだけで本物らしく見えてしまいます。
イエローハットも、身に覚えのない不審なメールやSMSが届いた場合、本文や添付ファイルを開いたり、リンク先へアクセスしたりしないよう呼びかけています。
同社が案内している専用相談窓口は0120-405-092（フリーダイヤル）です。受付時間は8月28日から10月12日までが全日10時から19時まで、10月13日以降は平日の10時から19時までとなっています。
なお2りんかん側では、一部の利用を制限していたアプリについて、2026年10月を目途にサービスを再開する予定が示されています。
設計した日に決まっていたこと
情報漏えいの報道は、どうしても件数の大小で語られます。180万人分と318万人分では、後者のほうが大きい事案として並べられます。
しかし利用者にとっての実感は、件数ではなく、自分の何が渡った可能性があるかで決まります。名前と電話番号が漏れたのか、そこに住所と生年月日とパスワードと愛車の車台番号まで加わるのかでは、その後に起きうることの幅がまったく違います。
今回イエローハットが書けた「保持していないため、漏えいはございません」という一文は、事故の渦中で最も価値のある種類の説明でした。この一文があるかないかで、被害に遭った利用者が抱える不安の量は変わります。
そして、同じ一文を自社のリリースに書けるかどうかは、事故が起きてからでは決められません。決まるのは、そのシステムに何を持たせるかを設計した日です。
【関連記事】
さくらインターネット136万563の読み方｜確定件数ではない、それでも今日やること
第一報で示される「最大」という数字を、読者としてどう受け取るべきかを扱った記事。本稿の後半の論点とそのまま重なっている。
アフラック不正アクセスで438万人分の個人情報漏えい、23万人は口座情報も
漏れた情報の組み合わせこそが被害の質を決めるという視点から、国内でも最大級の規模となった漏えい事案を整理した記事である。
【続報】KDDIメール不正アクセス、漏えい確定1,223万件・パスワード761万件
第一報で示された見込みの件数が、調査を経て確定件数へと移っていく過程を追った続報記事。本件の今後を読むうえで参考になる。
【解説】ニチレイ、攻撃者が「盗んだ」とするデータ公開─約10日で戻せた業務と、戻らない情報
復旧できる業務と、いちど外に出てしまえば戻らない情報とを、分けて考えるという視点を扱った解説記事。本稿と対をなす内容である。
【編集部後記】
4月の2りんかんの報告を読み返して、車両情報の欄で手が止まりました。車種、排気量、車台番号。バイク乗りにとっては愛車の身分証のような情報です。
今回の作業予約システムには、それが入っていませんでした。予約を取るだけなら要らない、という判断が、どこかの時点で誰かの手で下されていたことになります。地味で、褒められることもなかったはずのその判断を下した人は、いまこの一件をどんな気持ちで見ているのでしょうか。
【用語解説】
API
ソフトウェアどうしが機能やデータをやり取りするための接続口。アプリが会員情報を取得する際もAPIを経由する。呼び出す側がアプリ本体かどうかを検証していない場合、アプリを介さずに直接呼び出してデータを取得される余地が生じる。
適時開示
上場企業が投資判断に重要な影響を与える情報を、証券取引所を通じて速やかに公表する制度。個人情報漏えいの公表も、業績への影響が見込まれる場合はこの枠組みで行われる。
フィッシング
実在の企業や公的機関を装って偽のサイトへ誘導し、認証情報やカード情報を入力させる手口。氏名や会員番号など本物しか知り得ない情報が添えられていると、受け手が見破ることは難しくなる。
車台番号
車両1台ごとに割り当てられる固有の識別番号。車検証にも記載され、車両の同一性を確認する用途に使われる。
【参考リンク】
イエローハットにおける不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ｜イエローハット（外部）
本稿が扱う2026年8月28日の公表文。経緯、対象データ数、対象項目、対応状況、専用相談窓口の受付時間までが記載されている。
イエローハットにおける不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ（適時開示）（外部）
同じ内容を東京証券取引所の適時開示として提出したもの。8月28日15時30分の開示で、本文は全2ページにまとまっている。
【重要】「２りんかんアプリ」をご利用のお客様へ：個人情報漏えいの可能性に関するお詫びとご報告｜２りんかん（外部）
4月の事案の最終報を含む公表ページ。APIの悪用という侵入経路と、3,179,454名分という特定件数が記載されている。
当社連結子会社（株式会社２りんかんイエローハット）における個人情報漏えいの可能性に関するご報告（第二報）｜イエローハット（外部）
2026年5月1日の中間報告。この段階で最大3,455,754名様分という上限値と、11項目にわたる対象情報が示された。
当社連結子会社（株式会社２りんかんイエローハット）における個人情報漏えいの可能性に関するご報告｜イエローハット（外部）
2026年4月23日に公表された第一報。対象となる件数が示される前の段階における、この事案についての最初の報告にあたる。
個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会（外部）
利用する必要がなくなった個人データを遅滞なく消去する努力義務など、本稿の後半で触れた規定の解釈を示している公式ガイドライン。
イエローハット公式サイト（外部）
株式会社イエローハットの企業サイト。会社情報や店舗検索のほか、車検やタイヤ交換といった各種サービスの案内を掲載している。
【参考記事】
イエローハット、最大180万人分の情報漏えいか 作業予約システムに不正アクセス｜ITmedia NEWS（外部）
最大180万1499人分という数値と、漏えいの対象になった4項目・当該システムが保持していない3項目の内訳を整理して報じている。
イエローハットに不正アクセス 180万件の顧客情報が漏洩の可能性｜日本経済新聞（外部）
現時点で顧客の情報流出被害は確認されておらず、システムは既に復旧しているという同社担当者の説明をあわせて伝えている記事。
イエローハット子会社、会員データ317万9454人分が流出 アプリのAPI悪用で｜日経クロステック（外部）
4月の事案の侵入経路を詳報した記事。アプリを使わずに個人情報を取得できるAPIが呼び出された点を、具体的に説明している。
イエローハット系「2りんかん」に不正アクセス 個人情報345万人分流出か｜週刊アスキー（外部）
5月1日の第二報の段階で公表された、氏名から車両情報まで11項目にわたる対象情報の一覧を、そのままの形で掲載している記事。
イエローハットグループの二輪用品店「2りんかん」に不正アクセス、会員の個人情報漏えいの可能性｜INTERNET Watch（外部）
4月23日の第一報を、対象となる件数がまだ示されていない段階のニュースとして報じた記事。発覚直後の初期対応の内容が分かる。
