イエローハット情報漏洩：届いたSMSは本物か、0120-405-092と流出範囲

イエローハットは2026年8月28日、「イエローハットWEB作業予約システム」への不正アクセスにより、最大1,801,499名分の会員情報が外部へ漏えいした可能性があると公表しました。漏えいの可能性がある項目は氏名・電話番号・メールアドレス・会員番号の4つです。同社は対象者へメール・SMS・電話・書面のいずれかで連絡すると案内しており、SMSに書かれた0120-405-092は公式発表の専用相談窓口と同じ番号です。この記事では、届いたSMSや電話を本物か確かめる手順、2りんかんなど他ブランド店舗の利用者が対象に入るか、続報の有無を公式発表で確認します。後半では同じグループの2りんかん事案との違いと、予約系Webシステムを設計・運用する側の備えを実装の解像度でまとめます。

まとめ：届いたSMSの確かめ方と、公表で確定した事実

届いたSMSや電話の真偽は、SMSの中のリンクや番号ではなく、自分で開いた公式発表の記載と照らして確かめます。公式発表の専用相談窓口は0120-405-092で、受付は10月12日まで全日10時〜19時、10月13日以降は平日10時〜19時です。公式発表はSMSの本文も送信元の番号も公表していないため、文面が似ているだけで本物とは判断できません。リンクは開かず、窓口へ自分で電話して確認してください。

公表内容から確定しているのは、2026年8月18日朝に当該システムへの不正アクセスを検知したこと、外部接続の遮断を含む緊急措置を取って影響範囲を調べた結果、最大1,801,499名分の個人情報が漏えいした可能性が判明したこと、8月28日にその内容を公表したことの三点です。クレジットカード情報・パスワード・車両情報は当該システムが保持していないため対象外とされ、他ブランドの店舗の利用者への影響もないと説明されています。2026年10月10日時点で、同社の発表ページに続報は掲載されていません。

攻撃は「不正プログラムによる攻撃」とだけ記され、侵入の初期経路も設置されたプログラムの種別も公表されていません。設計・運用する側の打ち手は三つです。第一に予約系システムが持つデータの範囲を設計時点で絞ること、第二にグループ会社や系列サイトを含めた資産の棚卸しを継続的に回すこと、第三に是正措置を検知した1システムだけで閉じず同一構成の資産へ水平展開することです。

届いたSMSや電話がイエローハット本物の連絡か公式発表の窓口番号で確かめる

公式発表が示す連絡手段四種類と専用ダイヤル0120-405-092の受付期間

公式発表の「お客様へのお知らせとお願い」には、対象者へ準備が整い次第「電子メール、SMS、お電話、または書面のいずれかの方法にて、お詫びと注意喚起のご案内」を送ると書かれています。SMSでの連絡は、公式が予告した手段の1つです。

問い合わせ先として公式発表に載っているのは「株式会社イエローハット 専用相談窓口」の0120-405-092（フリーダイヤル）だけです。受付時間は8月28日〜10月12日が全日10:00〜19:00、10月13日以降は平日10:00〜19:00と案内されています（2026年10月10日時点の公式発表）。

検索されている受信SMSの文面と公式発表の記載が一致する四つの要素

受信した人が文面を丸ごと検索しているSMSは「対象となる可能性のあるイエローハット会員様へ　本年8月18日、第三者の不正アクセスによる情報漏洩の可能性が判明しました。」で始まり、末尾に「0120-405-092(10-19時 10/12迄全日、以降平日のみ) 配信元:(株)イエローハット」と書かれています。

この文面を公式発表と照らすと、検知日の8月18日、窓口の番号、受付時間の10時〜19時、10月12日まで全日でその後は平日のみという受付日の区分、の四つが一致します。一方で、公式発表はSMSの本文も送信元の電話番号も公表していません。偽の通知は公式発表の文言を写せば作れるため、文面の一致だけで本物とは言い切れません。判断の拠り所は、書かれたリンクを開くかどうかと、どの番号へ電話するかに置きます。

公式が公表していない点と偽SMSを見分けるために受信者が取る確認手順

2026年10月10日時点で、公式発表には「パスワードやカード番号をお聞きすることはありません」といった文言は載っていません。公式が明記しているのは、カード情報・パスワード・車両情報は当該システムでは保持していないため漏えいはないこと、身に覚えのない不審なメールやSMSが届いた場合は「メールの開封、リンクへのアクセス、添付ファイルの開封等」をしないことの二点です。補償やお詫びの金品についても、公式発表に記載はありません。この二点から、受信者が取れる確認手順は次のとおりです。

1. SMSに書かれたURLは開かない。公式の注意喚起はリンクへのアクセスを控えるよう求めている
2. SMS内の番号を使わず、ブラウザで自分でイエローハット公式サイトを開き、お知らせに載っている0120-405-092へ電話する
3. カード番号・パスワード・暗証番号の入力や回答を求められても応じない。今回のシステムはそれらを持たず漏えいの対象外と公式が説明しており、この件を理由に求める連絡は公式発表と食い違う
4. 会員番号や氏名を示されても本物の根拠にしない。会員番号は漏えいした可能性のある4項目の1つで、第三者が手にしている可能性がある
5. お詫びの品や返金の手続きを口実に支払いや口座情報を求められたら、窓口に確認するまで応じない

電話で連絡を受けた場合も同じです。相手の名乗りや話の内容で判断せず、いったん切ってから公式発表の番号へかけ直してください。

2りんかんや他ブランド店舗の利用者が今回の漏えい対象に入るかを公式発表で確認

他ブランド店舗の利用者に影響はないとする公式発表の根拠と対象範囲

公式発表は、本システムが「グループ他社のシステムとは異なる独自の管理システムを採用しているため、他ブランドの店舗をご利用のお客様への影響はございません」と説明しています。対象は「イエローハット会員サーバー内に保管されている一部の会員様の情報」です。

自分が対象かを調べる照会ページは、2026年10月10日時点で公表されていません。同社は対象者へ個別に連絡するとしています。連絡が届かず不安が残る場合や、イエローハットと他ブランドの両方を利用していて対象か判断できない場合は、0120-405-092で確認してください。

2りんかん利用者に届いた通知は4月公表の別事案で発信番号も異なる

グループ会社の株式会社2りんかんイエローハットは、2026年4月23日に別の不正アクセスを公表しています。6月19日の最終報で対象は3,179,454名分と特定され、対象者へはホームページ掲載・電話・アプリ内通知・メール・SMS・書面で個別のお詫びと注意喚起を「すべて実施」したとされています。SMSの発信番号は050-5846-7909または243063（発信専用）と公表済みです。

2りんかんしか使っていないのに通知が届いたと感じる場合は、まず番号を見てください。050-5846-7909や243063からのSMSは、2りんかん側が公表した発信番号です。問い合わせ先も別で、2りんかん専用お客様相談窓口は0120-853-049（平日10:00〜19:00）です。一方で0120-405-092が書かれた通知はイエローハット側の窓口を示しています。どちらの番号も、届いた文面からではなく各社の公式ページで照合してください。

利用を制限中の2りんかんアプリは、2026年10月を目途に再開すると案内されています。再開時は全アプリ会員を一斉ログアウトし、新しいパスワードの設定を求める予定です。2026年10月10日時点で、2りんかんのお知らせ一覧に再開の告知は見当たりません。

検知から公表までの十日間に行われた対応と初動判断を時系列で検証する

八月十八日朝の検知から外部接続の遮断に至った初動判断の意味を読む

不正アクセスの検知は8月18日朝、公表は8月28日でした。この十日間は情報を伏せた期間ではなく、封じ込めと影響範囲の確定に充てられた期間と読むのが妥当です。同社は検知後に外部接続を遮断し、システムの停止を含む措置を取ったうえで調査を進め、システム上の対策を完了したとしています。

外部接続の遮断は、侵害を受けたシステムに対する初動としては素直な判断でした。不正プログラムが設置されている状態で通信を残せば、データの持ち出しが継続します。一方で遮断はシステムの機能停止と同義であり、店舗の作業予約という顧客接点を止める決断でもありました。この判断を短時間で下せるかは、平時に縮退運用の手順を決めてあるかで決まります。詳細は後段で扱います。

最大1,801,499名分という数字が示す対象範囲と被害確定数の違い

公表された1,801,499という数は、実際に外部へ持ち出されたレコード数ではありません。当該システムが保持していた会員データのうち、不正アクセスで参照され得た範囲の上限です。侵害の初報で提示される件数はこの「アクセスされ得た上限」として出るのが通例で、調査が進めば確定値へ絞り込まれます。

4か月前の2りんかんイエローハットの事案がその例です。2026年5月1日の第二報で示された「最大3,455,754名様分」は、6月19日の最終報で詳細なログ解析の結果「3,179,454名様分」へ特定・下方修正されました。上限から確定値まで約1か月半かかっています。イエローハット側は2026年10月10日時点で件数の確定値を公表していません。額面をそのまま被害実数として扱うと過大評価になりますが、自分が範囲に入っているかを判断する側から見れば、上限で動く前提は変わりません。

四か月前の2りんかん事案との違いから再発防止の判断軸を読み解く

同じグループで短期間に二度の侵害が起きた事実を統制面から捉える

イエローハットグループでは、2026年4月に子会社の2りんかんイエローハットが管理する会員専用サーバーへの不正アクセスが公表されていました。2りんかんの告知ページに掲載された経緯は次のとおりで、最新は6月19日の最終報です。

最終報によれば、2りんかん側で漏えいした項目は氏名・住所・電話番号・生年月日・性別・メールアドレス・会員番号・アプリユーザーID・アプリパスワード・ポイント残高・車両情報の11種類です。同社は個人情報保護委員会への確報の提出を終え、所轄警察へ被害申告を行い、捜査への協力を続けていると説明しています。

4か月という間隔は、前回の是正措置がまだ進行中の時期に次の侵害が成立したことを意味します。攻撃者から見れば、同一グループで一度成功した相手は再訪の価値がある標的です。一度目の公表は、まだ直していない資産があることの告知にもなり得ます。

二つの事案で異なるシステム分離と保持データ量が被害範囲を分けた

2りんかん側はアプリと連携する会員基盤で、住所・生年月日・アプリのパスワード・車両情報まで抱えていました。今回のWEB作業予約システムは予約受付に絞られ、保持は4項目です。同じグループの侵害でありながら、流出した情報の重さがまるで違います。

システムが分かれていたことは、被害範囲の限定という点で働きました。ただし分離は侵害の連鎖を止めた保証になりません。2りんかん側の原因はアプリのAPIの悪用と公表された一方、今回は「不正プログラムによる攻撃」とだけ記されており、両事案に共通の運用基盤や委託先があったのかは公表されておらず、断定できない領域です。設計側が受け取るべき教訓は、分離すれば被害の上限が下がるという事実の方です。

漏えい項目が四つに限られた構図からデータ保持設計の効果を読み解く

予約系システムが業務上保持すべきデータ範囲を利用目的から決める

今回、漏えいの可能性がある項目は氏名・電話番号・メールアドレス・会員番号の4種類にとどまりました。同社はカード情報・パスワード・車両情報を当該システムでは保持しておらず漏えいはないと明記しています。これは事故後の幸運ではなく、設計時点の判断が結果を決めた例です。

店舗の作業予約に必要な情報を考えると、来店者を特定できる氏名、連絡用の電話番号とメールアドレス、会員を紐づける番号があれば足ります。車両情報は作業内容の確認に使えそうですが、受付時点では車種の選択肢だけで成立し、詳細は基幹側や店舗側で参照すれば済みます。決済も予約時点では発生しません。持つ必要のないデータを持たない設計は、事故が起きた日に効いてきます。

会員番号が残る場合にフィッシングの材料となる条件と防止策を考える

4項目で止まったとはいえ、この組み合わせが無害という結論にはなりません。氏名・電話番号・メールアドレスに会員番号が加わると、送信者側は「あなたの会員番号は○○です」と示せる文面を作れます。会員番号は本人しか知らない情報だと受け取られやすく、なりすましメールやSMSの信憑性を押し上げる材料になります。前半の確認手順で、会員番号を本物の根拠にしないと書いたのはこのためです。

この構造は、認証や認可の実装が抜けて会員情報が露出した事例と同じ帰結を生みます。タカラトミーのデュエマアプリ個人情報漏えい｜認証・認可実装の何が抜けたのかで扱ったように、漏れた項目が少なくても識別子が揃えば二次被害の起点になります。事業者が対象者へ通知するときは、本物の通知の送信元番号を公式ページに載せ、パスワードやカード番号を尋ねないことを明記して、受信者が見分ける基準を渡してください。今回の公式発表には、この二つが載っていません。

予約系Webシステムに不正プログラムを置かれる経路と検知の実装

公表されていない侵入経路を既知の攻撃成立条件から絞り込む方法

今回の手口は「不正プログラムによる攻撃」までしか公表されていません。ただし、外部公開されたWebアプリケーションにプログラムを設置される経路は、種類が限られています。ファイルアップロード機能の検証不備によるスクリプト設置、テンプレートエンジンやデシリアライズ処理を突いたコード実行、公開中のミドルウェアやフレームワークの既知脆弱性、管理画面や運用系の認証情報を奪ったうえでの正規手順による配置です。今回どれに当たるかは公表されていません。

予約系のシステムは、この中で上二つの条件を抱えやすい構造です。車両の写真や書類を添付できる機能、店舗側が予約枠をCSVで取り込む機能など、外部からファイルを受け取る導線を持ちます。受け取ったファイルを公開領域に置き、拡張子の検証だけで通せば設置が成立します。ショップサーブの情報漏えい最大885万件｜サーバー侵害とデータ外部送信の技術解説で扱った事案も、サーバー側に置かれたプログラムからデータが外部へ送られる構図でした。

不正プログラムの設置と外部送信を二段階で検知する監視の実装方法

不正プログラムの設置は、置かれた瞬間と、動き出した瞬間の二か所で捉えられます。置かれた瞬間を捉えるのはファイル完全性監視で、公開ディレクトリ配下の新規作成と更新を差分検知し、デプロイ以外で発生した変更を通知します。デプロイのたびに大量の変更が出るため、CI経由の変更をホワイトリスト化しないと通知が埋もれかねません。

動き出した瞬間を捉えるのは外向き通信の監視です。Webサーバーからインターネットへ向かう通信は、本来は決済や外部APIなど限られた宛先に閉じます。宛先を許可制にして、許可外への送信を遮断とアラートの両方に回してください。データの持ち出しは、この一点で止められる場面が多くあります。加えて、1回のリクエストで返す会員レコードの件数に上限を設け、上限に近い取得が連続した時点で警報を上げておくと、正規の権限を奪われた場合にも効きます。

侵害検知の空白を作らないログの保持期間と記録対象の実務上の決め方

侵害の調査では、検知日より前へ遡ってログを読みます。今回のように検知から公表まで十日を要する事案では、調査対象の期間はさらに広く取ります。アクセスログ、認証ログ、ファイル変更履歴、外向き通信の記録を90日以上残していないと、初期侵入の時期が特定できません。保持期間の短さが理由で経路が不明のまま終われば、再発防止策は推測の上に立ちます。

是正措置がグループ横断へ届かない理由と水平展開を定着させる設計

一度目の是正が検知済み資産だけで閉じる構造と再発を招く具体条件

侵害を受けた企業の是正措置は、対象システムの復旧と再発防止に集中します。その範囲で完結させるのは自然ですが、グループ企業では別の危険が残ります。侵害された子会社と同じ構成・委託先・認証方式を使う資産が、別会社の名義で動いている場合です。持株関係が分かれれば、是正の指示が届く経路も分かれます。

ここで起きるのは、対策の抜けではなく適用範囲の抜けです。何をすべきかは一度目の調査で判明しているのに、適用する対象の一覧が存在しないため、直った資産と直っていない資産が併存します。攻撃者は後者を選びます。

是正措置の水平展開をグループ全体で継続して回すための実装手順

是正の水平展開は、指示ではなく仕組みで担保します。順序で示します。

1. 一度目の調査報告から、侵害の成立条件を機械判定できる形へ落とす（対象製品と版、公開ポート、認証方式、委託先、権限設計）
2. グループ全社の資産台帳に対して、その条件でクエリを流し該当資産を列挙する
3. 列挙結果を「是正済み」「是正中」「対象外（理由付き）」の三状態で管理し、未完了が残る限りクローズしない
4. 同じ条件を定期実行に組み込み、新規の資産が条件に該当した時点で検知する

2りんかん事案に当てはめると、公表された成立条件は「アプリのAPIを悪用した不正アクセスで会員データが取得された」です。第1段階では、これを「会員情報を返すAPIを外部へ公開している」「1回の要求で返す件数や接続元ごとの要求回数に上限がない」といった機械判定できる条件に落とします。具体的にどのAPIのどの欠陥が悪用されたかは公表されていないため、ここで挙げる条件は一般化した例です。OWASP API Security Top 10のAPI4:2023 Unrestricted Resource Consumptionは、要求回数や返却件数に制限のないAPIを典型的なリスクとして挙げています。

条件に該当した資産へ最初に入れる手当ての1つが、接続元ごとの要求回数の制限です。次は、APIの手前に置いたnginxで、会員情報APIへの要求を接続元IPごとに制限する例です。値は検証環境で正規の利用量を測ってから決めてください。

# http ブロック: 接続元IPごとに毎秒5リクエストまで（状態の保存に 10MB を確保）
limit_req_zone $binary_remote_addr zone=member_api:10m rate=5r/s;

server {
    # 会員情報を返すAPIのパスに適用し、超過分は 429 で返す
    location /api/members/ {
        limit_req zone=member_api burst=10 nodelay;
        limit_req_status 429;
        proxy_pass http://app_backend;
    }
}
# 反映前に必ず構文を確認する: sudo nginx -t && sudo systemctl reload nginx

ディレクティブの意味はnginxのngx_http_limit_req_moduleのドキュメントで確認できます。モバイル回線のように多数の利用者が同じIPから接続する環境では、IP単位の制限が正規の利用者を巻き込む場合があります。認証済みAPIなら、IPではなく利用者IDやトークン単位での制限も併せて検討してください。回数制限は認証や認可の不備そのものを塞ぐ手段ではなく、一括取得の速度を落として検知までの時間を稼ぐ層です。

この手順が回るかは、第2段階の資産台帳が実在するかで決まります。台帳がなければ列挙ができず、是正は各社の自己申告になります。自己申告は、担当者が資産の存在を認識している範囲でしか機能しません。

グループ会社の公開資産を誰が診断するか所管と費用負担から決める

実務で詰まるのは技術ではなく所管です。親会社の情報システム部門が子会社のサーバーへ診断をかけてよいか、費用は誰が持つか、対応期限を誰が決めるかが未定なら、水平展開は文書の往復で止まります。対象範囲の定義と同時に、実施主体・費用負担・期限を決めてください。曖昧にしたまま台帳だけ作っても、更新されない一覧が残ります。

グループ会社と系列サイトを含む公開資産棚卸しを継続して回す方法

台帳に載らない公開資産が侵害の入口となる理由と発見方法を押さえる

企業グループの実態を調べると、公式サイトのほかにキャンペーン用のドメイン、店舗検索、採用サイト、旧サービスの残骸、代理店が構築した受付フォームが並びます。事業部門や外部の制作会社が個別に立てたものが多く、情報システム部門の台帳に載っていない場合があります。載っていない資産は、脆弱性の管理対象にも診断の対象にもなりません。

対策は、申告に頼らず外側から探す方向へ切り替えることです。攻撃対象領域の管理（ASM）は、自社が保有するドメインとIPを起点に、名前解決と応答から公開資産を機械的に列挙します。申告漏れの資産、閉じ忘れた管理画面、サポートが終了した版のミドルウェアを、攻撃者と同じ視点で洗い出せます。

公開資産棚卸しの実行手順と月次・四半期で回す適正頻度を定める

棚卸しは一度きりでは意味を持ちません。ドメインとIPの一覧は登録情報から四半期ごとに更新し、公開資産の列挙は月次で実行してください。列挙された資産には所管部門と用途を紐づけ、所管が定まらないものは停止の候補として扱います。判断がつかないまま放置された資産が、次の侵害の入口になります。

列挙された資産のうち、会員情報や予約情報を扱うものには診断をかけます。範囲と深さの決め方、費用の見積もり、外注時の判断基準は脆弱性診断とは？種類・費用相場・進め方と外注時の判断基準を解説にまとめています。グループ全社の資産を一度に診るのは費用の面で難しいため、扱うデータの種類と公開範囲で優先順位を付けてください。

自社で棚卸しと診断の体制づくりに手が回らない場合は、外部の診断で範囲を区切って始める進め方があります。当社の脆弱性診断・セキュリティ診断では、公開資産の洗い出しから診断、報告後の再診断までを一連で扱っています。グループ会社を含む複数サイトを対象にする場合は、優先順位の付け方から相談してください。

漏えい報告義務の期限を速報から確報六十日まで実務の流れで押さえる

漏えい報告の速報と確報で異なる期限と六十日以内の条件を整理する

個人データの漏えい等が発生した場合、個人情報取扱事業者は個人情報保護委員会への報告義務を負います（委員会の漏えい等報告ページ、2026年10月10日確認）。報告は二段階で、速報は発覚から3〜5日以内、確報は30日以内が原則です。ここで見落とされやすいのが、不正の目的をもって行われたおそれがある行為による漏えいでは、確報の期限が60日以内になる点です。

今回のような不正アクセスによる漏えいは、この60日以内の類型に該当します。30日を前提に社内の計画を組むと、調査が終わらないまま期限に追われかねません。報告対象の類型は、要配慮個人情報を含む漏えい、財産的被害が生じるおそれがある漏えい、不正の目的をもって行われたおそれがある行為による漏えい、本人の数が1,000人を超える漏えいの四つです。今回の事案は三つ目と四つ目の両方に当たります。

本人への通知を滞らせないためシステム側で事前に整える準備項目

委員会への報告とは別に本人への通知も求められ、ここでシステム側の準備が問われます。対象者を抽出できるか、連絡先が有効か、大量の通知を配信できるか、通知した記録が残るかです。侵害を受けたシステムが停止し、その中にしか会員の連絡先がなければ、通知の準備そのものが進みません。

準備として実装しておくべき点を挙げます。会員データのバックアップから読み取り専用で対象者を抽出できる経路を用意すること、通知配信の基盤を侵害対象と別に持つこと、通知の送信結果を後から件数と日時で説明できる形で記録することです。SMSで通知するなら、送信元の番号や配信元の表記を事前に決めて公式ページに載せておくと、受信者が本物か確かめる手段になります。法制度の全体像は個人情報保護法とは？その定義と基本的な概念を解説、直近の改正で企業側の対応がどう変わるかは個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わるを参照してください。

店舗の予約業務を止めずに侵害を封じ込める具体的な縮退運用の設計方法

全面停止と全面継続の間に予約業務を維持できる縮退経路を設計する

侵害を検知したとき、システムを止めるか動かし続けるかの二択で考えると判断が遅れます。今回のような店舗予約は、止めれば来店の導線が切れて受付が電話に集中します。かといって侵害された状態で動かし続ける選択はありません。用意すべきは、その中間です。

縮退運用の設計を具体化します。会員情報を参照しない予約受付を別経路で用意し、氏名と電話番号だけを新規に受け取って店舗へ渡す形としてください。会員データベースへの接続を切った状態でも受付が成立するため、侵害されたシステムを停止したまま顧客接点を維持できます。予約枠の在庫は店舗側の管理表を一次情報とする運用へ切り替えます。

縮退運用への切り替え前に決めておく判断者・受付経路・復旧手順

縮退運用は、事故が起きてから作れません。平時に決めておく点は三つです。第一に切り替えの判断者と発動条件、第二に切り替え先の受付経路とその公開手順、第三に復旧後に縮退期間中のデータを本系へ戻す方法です。三つ目を決めていないと、復旧後に予約の二重登録や取りこぼしが発生し、事故対応の後に運用の混乱が続きます。

年に一度は切り替えを実際に動かす訓練を入れてください。手順書だけを更新した状態では、発動時に公開手順の権限が誰にあるかで止まります。同種の判断を迫られた事例として、PeakManagerの個人情報漏えい｜DB侵害・外部転送とデータ削除の技術解説ではデータが外部へ転送された後に削除された状況での復旧が論点になりました。侵害の型で縮退の形は変わるため、想定する型を複数持つと判断が早まります。

よくある質問

「対象となる可能性のあるイエローハット会員様へ」というSMSは本物ですか？

公式発表は対象者へSMSでも連絡すると案内しており、検索されている文面の検知日・窓口番号・受付時間は公式発表と一致します。ただしSMSの本文と送信元番号は公表されていないため、文面だけで本物とは断定できません。リンクは開かず、自分で公式サイトを開いて載っている0120-405-092へ電話して確かめてください。

0120-405-092はイエローハットの公式な問い合わせ窓口ですか？

はい。2026年8月28日の公式発表に「株式会社イエローハット 専用相談窓口」として記載された番号です。受付時間は8月28日〜10月12日が全日10:00〜19:00、10月13日以降は平日10:00〜19:00です。番号はSMSの記載ではなく、公式発表のページで照合してからかけてください。

2りんかん（2輪館）しか使っていないのに覚えのない通知が届いたのはなぜですか？

今回のイエローハットの件について、公式発表は他ブランドの店舗の利用者に影響はないと説明しています。一方、2りんかんは2026年4月に別の不正アクセスを公表し、050-5846-7909または243063からSMSで個別に連絡したとしています。届いた番号を各社の公式ページと照合し、判断できなければ2りんかんは0120-853-049、イエローハットは0120-405-092へ問い合わせてください。

イエローハットの情報流出で、何が漏れた可能性がありますか？

公表されているのは氏名・電話番号・メールアドレス・会員番号の4項目で、対象は最大1,801,499名分です。カード情報・パスワード・車両情報は対象のWEB作業予約システムが保持していないため、漏えいはないとされています。この件を理由にカード番号やパスワードを尋ねる連絡には応じず、窓口で確認してください。

イエローハットの情報漏洩に続報や件数の確定はありますか？

2026年10月10日時点で、公式発表ページに続報は掲載されておらず、8月28日の第一報が最新です。件数は「最大1,801,499名様」のままで、侵入経路も公表されていません。同社は新たな事実が判明した場合はホームページで知らせるとしています。2りんかん側の事案は6月19日の最終報で3,179,454名分と確定しています。

関連記事

• ショップサーブの情報漏えい最大885万件｜サーバー侵害とデータ外部送信の技術解説
• PeakManagerの個人情報漏えい｜DB侵害・外部転送とデータ削除の技術解説
• タカラトミーのデュエマアプリ個人情報漏えい｜認証・認可実装の何が抜けたのか
• 脆弱性診断とは？種類・費用相場・進め方と外注時の判断基準を解説
• 個人情報保護法とは？その定義と基本的な概念を解説
• 個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わる