イエローハットのWEB作業予約システムへの不正アクセス

経緯

イエローハットは第一報で、8月18日朝に当システムへの不正アクセスを検知し、直ちにシステムの外部接続を遮断するなどの緊急措置を取ったと説明した⁠［1］。その後の影響範囲の調査を進める過程で、会員の個人情報が漏えいした可能性が分かった⁠［1］。システムの停止を含む措置と詳細な調査、セキュリティ強化を進め、第一報の段階で既にシステム上の対策を完了していた⁠［1］。第一報が示した対象は最大1,801,499名だった⁠［1］。

第二報・最終報では、第三者調査機関が当システムとアクセスログのフォレンジック調査を行い、原因究明と影響範囲の特定を完了した⁠［2］。漏えいの件数は、ログ解析で実際の件数を特定したものである⁠［2］。

作業予約のページによると、オイル交換のWEB予約は一部の輸入車を受け付け、バッテリー交換と車検見積のWEB予約は国産車のみの受付となる⁠［4］。イエローハットは2024年12月のDX推進の方針で、WEB作業予約の取扱いメニューの拡充と告知強化による利用推進を掲げ、WEB作業予約件数を2024年度から2027年度に1.6倍にする目標を置いた⁠［5］。

目次へ

影響範囲

第一報は、WEB作業予約システムがグループ他社のシステムとは異なる独自の管理システムを採用しているため、他ブランドの店舗の利用者への影響はないと説明した〔注1〕⁠［1］。

説明の食い違い

パスワードについて、第一報は当システムでは保持していないため漏えいはないと説明した⁠［1］。第二報・最終報は漏えいした項目に「パスワード（復元できない状態）」を加え、パスワードは復元できない形式で保管しており、今回漏えいした情報によるアカウントの不正利用の恐れはないとした⁠［2］。

目次へ

対応と現状

• 検知後に当システムを遮断・停止し、セキュリティ強化やシステム改修等を施したうえで稼働を再開した⁠［2］。
• 対象の会員へ、WEB、電子メール、書面、電話等で個別のお知らせとお詫びを済ませた⁠［2］。
• 実施したセキュリティ強化とシステム改修は第三者調査機関の検証でも有効性を確認し、今後も定期的な脆弱性診断を続ける⁠［2］。
• 個人情報保護委員会への最終報告（確報）を提出し、所轄警察の捜査に協力する⁠［2］。

第一報の段階では、個人情報保護委員会への報告と警察への相談を行っていた⁠［1］。ITmedia NEWSの8月28日の記事は、イエローハットが業績への重要な影響が明らかになった場合は速やかに開示する方針だと報じた⁠［3］。

目次へ

未公表の事項

• 侵入の経路、悪用された脆弱性、不正プログラムの種類（第二報・最終報は原因究明を完了したと説明した⁠［2］）
• 調査を行った第三者調査機関の名称
• WEB作業予約システムの稼働を再開した日
• 攻撃者の特定の有無
• 不審な連絡などの二次被害の有無

注

• 〔注1〕連結子会社の２りんかんイエローハットでは別の不正アクセスがあり、2026年6月19日の最終報で、アプリのAPIを悪用した不正アクセスにより3,179,454名分の会員データが取得されたと特定した⁠［6］。

出典

更新記録

• 2026年8月30日：公開した。
• 2026年10月15日：イエローハットの10月15日の公表を加えた。

目次へ