イエローハットの不正アクセス（最大約180万人）：氏名・電話番号・メールが漏れた可能性と、会員がやること

対象は「イエローハットWEB作業予約システム」に情報が登録されていた人です。同社は、対象の人に電子メール、SMS、電話、書面のいずれかで個別に連絡するとしています。

同社によれば、グループ他社の店舗は別の管理システムを使っているため、他ブランドの店舗だけを利用している人には影響はありません。

氏名・電話番号・メールアドレスがそろうと、あなたの名前を書いたSMSやメールを送ったり、電話をかけたりできます。「ご予約の確認」「点検のご案内」「お詫びと補償」などの連絡が来たら、本文のリンクや書かれた電話番号は使わないでください。

確かめるときは、自分で開いた公式サイトか、利用した店舗に問い合わせます。SMSで届く偽のリンクについては フィッシングとは を参照してください。

会員番号も漏えいの対象です。連絡の中で会員番号が正しく書かれていても、本物の証拠にはなりません。

「本人確認のため」「返金のため」といった理由で、カード番号・暗証番号・ワンタイムパスワードを求められたら、その時点でやり取りをやめてください。

イエローハット本体の作業予約システムには、パスワードは保存されていなかったと同社は説明しています。一方、グループ会社の2りんかんイエローハットの事案（2026年4月）では、アプリのパスワードが漏えいしています。

2りんかんアプリと同じパスワードを他のサービスでも使っていたなら、そちらを変えてください。サービスごとに別のパスワードを管理するには パスワードマネージャー が現実的です。

同社は専用の問い合わせ窓口を設けています。番号は、届いた連絡に書かれたものではなく、同社の公式サイトのお知らせに載っている番号を使ってください（下の「何が起きたか」にも記載しています）。

すでにリンクを開いて情報を入力した、お金を払ったという場合は、カード会社・金融機関にすぐ連絡し、警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。

予約システムは、作業が終わったあとも氏名と連絡先を持ち続けがちです。予約の確認や当日の連絡に必要な期間が過ぎたら、連絡先を消すか会員データ側へ寄せるルールを決め、自動で処理します。予約システムに残る件数が減れば、漏えいしたときの人数も減ります。

同社は検知後に外部との接続を遮断しています。最初から外向きの通信を決まった宛先（決済・メール送信など）だけに許可しておけば、不正なプログラムが置かれても、データを外へ送り出しにくくなります。クラウドならセキュリティグループやファイアウォールの送信ルールで設定できます。

Webサーバーのプログラムが置かれる場所で、ファイルの追加や変更を記録して通知する仕組み（ファイル改ざん検知）を入れます。最初の1つは、公開中のディレクトリで、デプロイ以外のタイミングで変わったファイルを毎日通知する設定です。

漏えいのあとは、お詫びを装った偽の連絡が出やすくなります。個別連絡を送る前に、送信元のアドレスやSMSの送信者名、電話をかける番号を公式サイトで公表しておくと、受け取った人が自分で確かめられます。自社ドメインを名乗る偽メールを減らす設定は なりすましメールとSPF・DKIM・DMARC を参照してください。