イエローハットのWEB作業予約システムに不正アクセス。会員179万7,124名の氏名や住所などが漏えい

01発表されている事実

1. 8月18日（火）朝

   不正アクセスを検知。システムの外部接続を遮断するなどの緊急措置

2. 8月28日

   第1報。最大1,801,499名の氏名・電話番号・メールアドレス・会員番号が漏えいした可能性。個人情報保護委員会へ報告し、警察へ相談

3. 10月15日

   第二報・最終報。漏えいは1,797,124名と確定。システムは改修のうえ稼働を再開

最終報で漏えいが確認された項目は、氏名、住所、生年月日、性別、電話番号、メールアドレス、会員番号、ログインID、パスワードです。住所・生年月日・性別・ログインID・パスワードは、第1報の時点では挙がっていなかった項目です。パスワードは元に戻せない形で保管されていたため、イエローハットは、今回の漏えい情報だけでアカウントを不正に使われるおそれはないとしています。

第1報では、クレジットカード情報と車両情報はこのシステムで保持していないため漏えいはなく、他ブランドの店舗を利用した人にも影響はないとしています。侵入の具体的な経路は公表されていません。

02読者への影響

漏えいした項目には、氏名・住所・電話番号・メールアドレスがそろっています。これだけあれば、イエローハットや作業予約を名乗る、本物らしいメールやSMS、電話を送ることができます。「予約の確認」「ポイントの失効」などを理由にリンクを開かせる偽の連絡に注意が必要です。

パスワードは元に戻せない形でしたが、短いパスワードや、よくある言葉を使ったパスワードは、時間をかければ推測されることがあります。同じパスワードをほかのサービスでも使っている人は、そちらで不正ログインされるおそれが残ります。

03今すぐやること

1. イエローハットを名乗るメールやSMSは、本文のリンクを開かず、添付ファイルも開かない。予約や会員の情報は、公式サイトや公式アプリから自分で確かめる
2. 作業予約システムと同じパスワードをほかのサービスで使っているなら、そちらのパスワードをサービスごとに別のものへ変える
3. 電話で会員番号や支払いの情報を聞かれても、その場で答えない。不安なときは専用相談窓口（0120-405-092、平日10時〜19時）に自分からかけ直す
4. 家族の名前で予約している場合は、家族にも偽の連絡に気をつけるよう伝える

04同じことを防ぐには

予約や会員登録のサイトは、本業の売り場とは別のシステムで動いていることが多く、点検が後回しになりがちです。イエローハットも再発防止として、システム改修の効果を第三者機関に確かめてもらい、定期的な脆弱性診断を続けるとしています。お店の予約サイトを持つ中小企業は、年に1回は外部の診断を受け、使っていない機能や古いプログラムを残さないようにしてください。図鑑の「情報漏えい」の入口では、診断の頼み先や、漏えいに気づくための対策をまとめています。

05今後の発表

イエローハットは、対象の会員への個別の連絡を終え、個人情報保護委員会へ最終報告を出したとしています。捜査機関への協力は続けており、専用相談窓口での対応も続けるとしています。