イエローハットの不正アクセス（2026年10月公表）｜何が起きて、自社で何を確かめるか

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

何が起きたか（公表された事実）

同社の第一報（2026年8月28日）と第二報・最終報（2026年10月15日）から要約しました。言い回しは、できるだけ公式の書き方に合わせています。

第二報では、住所、生年月日、性別、ログインID、パスワード（復元できない状態）の漏えいが追加で確認されました。

個人情報保護委員会には最終報告（確報）を出し終え、警察の捜査に協力していくと発表しています。

入口と、広がった理由

公表された範囲では、攻撃を受けたのは「WEB作業予約システム」です。第一報によると、それによって「会員サーバー」内の一部の会員情報が漏えいした可能性が分かりました。

どの弱点から入られたのかは公表されていません。ここからは一般的な話です。外向けのWeb予約や会員登録の仕組みへの侵入は、一般にはソフトの脆弱性や、入力の扱いの不備から始まることが多いとされます。

手口の全体像は、教科書のWebサイトへの攻撃①とWebサイトの守り方にまとめています。

自社で確かめる3つ

Web予約、問い合わせフォーム、会員ページを持つ会社なら、同じ形の入口があります。担当者が一人で確かめられる所と、制作会社に聞く所に分けて進めます。

1. 外向けの仕組みと、つながる先を一覧にする：予約やフォームの仕組みごとに、どの会員データにつながっているかを書き出します。今回も、予約の仕組みから会員サーバーの情報に届いています。情報資産台帳の形が使えます。

2. パスワードを元に戻せない形で保管しているか：同社は、パスワードは復元できない形式で保管していたと発表しています。自社の仕組みも同じか、制作会社に聞きます。考え方はハッシュ関数にあります。

3. アクセスの記録が残っているか：同社は、ログ解析で実際の漏えい件数を特定したと説明しています。記録がないと、範囲を「最大」のまま狭められません。保管期間はログの保管期間で確かめます。

同社は再発防止として、定期的な脆弱性診断を続けると発表しています。自社の診断の頼み方はスキャンと診断の違いにあります。

取引先のチェックシートでは、ここに効く

今回確かめた3つは、取引先から届くチェックシートの設問にもそのまま使えます。よく出る設問と、答え方の記事は次のとおりです。

予約の仕組みを制作会社に任せている場合、設問の多くは「委託先に確認した結果」で答えることになります。

担当者のあなたにとって

大きなニュースのあとは、上司から「うちは？」と聞かれます。何を確かめたかを1枚で返せれば、一人で判断を背負わずに済みます。報告のひな形です。

【イエローハットの件について（報告）】
2026年10月〇日　〇〇（担当）

1. 公表の要点
　10月15日に第二報・最終報。WEB作業予約システムへの
　不正侵入で、1,797,124名様の情報の漏えいを確認。
　侵入の経路は公表されていない。
2. 自社で確かめたこと
　・外向けの仕組みとつながる先：〇件（一覧を添付）
　・パスワードの保管方法：〇〇（制作会社に確認済み）
　・アクセスの記録：〇日分を保管
3. 残っていること
　・〇〇（〇月〇日までに〇〇へ確認）

「分からない」は、期限と確認先をつけて書けば、報告として成り立ちます。

よくある質問

この記事のまとめ

• 2026年10月15日の第二報・最終報で、WEB作業予約システムへの不正侵入による1,797,124名様の情報の漏えいが確認されました。
• 侵入の経路は公表されていません。自社では、外向けの仕組みの一覧、パスワードの保管方法、アクセスの記録を確かめます。
• 確かめた結果は1枚にまとめ、残りは期限と確認先をつけて上司に報告します。

参考にした資料

1. 株式会社イエローハット「イエローハットにおける不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年8月28日）
2. 株式会社イエローハット「イエローハットにおける不正アクセスによる個人情報漏えいに関するお詫びとお知らせ【第二報・最終報】」（2026年10月15日）