イエローハット（9882）は、WEB作業予約システムへの不正アクセスによる漏えいの対象を会員179万7124人と公表した。当初の報告より漏えいした個人情報の種類が増えたとしている。東証プライム上場のカー用品販売会社である同社は、2026年10月15日付の第二報で調査結果を示した。
件数は減少、範囲は拡大
2026年8月28日付の第一報では、対象は最大180万1499人だった。その後のログ解析で、実際の漏えい対象はイエローハット会員179万7124人と特定した。
漏えい項目は増えた。流出したのは、氏名、住所、生年月日、性別、電話番号、メールアドレス、会員番号、ログインID、復元できない状態のパスワード。このうち住所、生年月日、性別、ログインID、パスワードは第一報以降に追加で確認された。
同社は、パスワードは復元できない状態で保管しており、この情報によるアカウントの不正利用の恐れはないとしている。報告書はパスワードをどのように保護していたかには触れていない。
同社によると、クレジットカード情報の漏えいはない。予約システムはカード情報を保持・取り扱っておらず、店頭とECサイトの決済も外部システムを利用している。
フォレンジック調査と稼働再開
第三者調査機関が予約システムとアクセスログのフォレンジック調査を実施し、同社は原因の究明と影響範囲の特定を完了したとしている。フォレンジック調査は、機器に残るログやデータを解析してインシデントの全容を解明する調査を指す。調査では、システムへの不正侵入により一部の顧客データが社外に流出したことを確認した。
イエローハットは8月19日に不正アクセスを検知し、システムを遮断・停止した。セキュリティ強化とシステム改修を施したうえで稼働を再開している。同社は、これらの対策の有効性は第三者調査機関の検証でも確認されたとし、今後も定期的な脆弱性診断を続けるという。報告書は侵入経路を明らかにしていない。
監督当局への報告と費用
イエローハットは、個人情報保護委員会への最終報告の提出を完了したとしている。今後も同委員会と、捜査を進める警察に協力する。対応や対策に要する費用が業績に重大な影響を及ぼす見込みはないという。
対象の顧客にはWEB、メール、書面、電話などで通知を済ませた。専用相談窓口（0120-405-092、平日10時～19時）も引き続き受け付けている。同社は会員に対し、不審なメールやSMSに記載されたリンクや添付ファイルを開かないよう呼びかけている。