イエローハット情報漏洩で自分は対象？179万人の第2報と今すぐやるべき対策

この記事の3行まとめ

第2報（2026年10月15日）で、1,797,124人分の情報流出が確認されました。
クレジットカード情報は、今回の対象システムでは保持・取り扱いがなく、漏洩はないと説明されています。
WEB予約を使った人は、パスワードの使い回し確認と、不審なSMS・メールへの警戒を。

「えっ、タイヤ交換をネット予約したことがあるけど、私も対象なの？」

そう思って、このページにたどり着いた人も多いんじゃないかな。私も最初のニュースを見たとき、スマホの予約履歴を思わず開いちゃいました。

先に結論を言うね。イエローハット情報漏洩の第2報（2026年10月15日）では、1,797,124人分の情報が流出したと確認されました。クレジットカード情報は今回のシステムでは扱っていないので、カードの漏洩はありません。いま確認したいのは、パスワードの使い回しと、怪しいSMS・メールの扱いです。順番に、落ち着いて見ていこうね。

30秒で分かる結論

第2報のポイントを1枚の表にしてみたよ

気になること	第2報で分かっていること
流出が確定した人数	1,797,124人
流出した主な情報	住所、生年月日、電話番号、メールアドレスなど（全9種類）
ログインID・パスワード	ログインIDと「復元できない状態」のパスワードも対象
クレジットカード情報	対象システムでは保持・取り扱いなし。会社の説明では漏洩なし
対象の可能性がある人がやること	パスワードの使い回し確認と、不審なSMS・メールへの警戒

この記事の読み方

この記事は、2026年10月15日に公表された第二報の内容をもとに書いています。公式発表で言い切られていないことは、「公式発表では明記されていない」「可能性」と、はっきり分けて書くね。

イエローハットで179万7,124人の情報漏洩が確定

最初に、何が起きたのかをシンプルに整理するね。ポイントは、第1報では「漏れたかもしれない」だった話が、第2報で「漏れたことを確認した」に変わった、という点だよ。

8月の「可能性」から10月15日に「流出確認」へ

イエローハットは8月に、WEB作業予約システムへの不正アクセスを検知しました。8月28日の第1報では、最大1,801,499人分の情報が漏れた「可能性」があると公表されていました。

それから約1か月半。10月15日の第二報で、実際に179万7,124人分の顧客データが外部に流出したことが確認された、と発表されています。

「可能性」と「確認」では、意味がぜんぜん違うよね。読者のみなさんにとっては、いま「ひょっとして」の段階は終わり、「自分は対象かどうかを確かめる段階」に入ったということなんだ。

なお、不正アクセスを検知した日付は、第1報と第2報で書き方に差があるという指摘が出ています。この記事では、断定を避けて「8月に検知」と書いているよ。正確な日付が知りたい人は、公式サイトの発表文で確認してね。

流出したのはWEB作業予約システムに関する会員情報

流出の対象になったのは、「イエローハットWEB作業予約システム」に関する会員情報です。オイル交換やタイヤ交換などの作業を、ネットで予約するときに使うシステムだね。

不正アクセスの入り口や手口は、公式には詳しく発表されていません。ネット上にはいろいろな推測が出回っているけれど、この記事では事実として扱わないことにするね。

また、会社は対象者に対して、WEB・電子メール・書面・電話などで案内とお詫びを行ったと発表しています。システムはセキュリティ強化や改修、第三者機関による有効性の確認を経て、再開されたとのことです。個人情報保護委員会への最終報告も済ませ、警察の捜査にも協力していると説明されているよ。

私も対象？イエローハット情報漏洩の確認ポイント

ここは、検索してきた人がいちばん知りたいところだよね。先に大事なことを言うと、「WEB予約を利用したことがある人は、特に確認しておきたい」というのが現実的なラインです。

ただし、公式発表で「この人は対象、この人は対象外」と細かく線引きされているわけではありません。だから私は、断定せずに「確認推奨」「公式発表では明記なし」で整理してみました。

利用のしかた	確認の目安
WEB作業予約を使ったことがある	確認推奨（特に注意したい）
店舗だけを利用した	公式発表では明記なし。通知や窓口で確認
アプリを使っている	公式発表では明記なし。通知や窓口で確認
退会済み	公式発表では明記なし。通知や窓口で確認
通知が届いていない	「届かない＝対象外」とは言い切れない。窓口で確認

WEB作業予約を利用したことがある人

オイル交換やタイヤ交換などを、イエローハットのWEB作業予約から申し込んだことがある人は、いちばん先に確認したいグループだよ。

今回の事案は「WEB作業予約システム」が舞台です。予約のときにログインしたり、会員登録をしたりした記憶がある人は、通知メールや郵便物がなかったか探してみてね。

私の場合は、メールの検索窓に「イエローハット」と入れるのが、いちばん早かったよ。迷惑メールのフォルダも忘れずにのぞいてね。

店舗だけ利用した人は？

お店に行ってタイヤを買った、オイルを替えた、というだけの人はどうなのか。気になるよね。

結論としては、公式発表では、店舗だけを利用した人が対象かどうかは明記されていません。だから「100％対象外」とも「対象」とも言えないんだ。

店頭で会員登録の手続きをした覚えがある人は、念のため通知の有無を確認しておくと安心だよ。

アプリ利用者は？

イエローハットのアプリを使っている人も、同じ考え方でいこうね。

アプリを使っているから必ず対象、という発表は確認できていません。逆に、アプリだから安全とも言えません。「公式発表では明記されていない」というのが、いまの正確な状況だよ。

アプリでWEB予約もしたことがある人は、最初のグループに当てはまる可能性があります。その場合は確認推奨、と考えてね。

退会済みの場合は？

「もう退会したから関係ないよね？」と思う人もいるはず。

でも、退会済みの人が対象に入るかどうかも、公式発表では明記されていません。退会済みの人が必ず対象になる、と言い切ることもできないんだ。

過去にWEB予約を使ったことがあるなら、通知が届いていないか、メールボックスを見直してみてね。

通知が届いていない場合は？

「利用したはずなのに、何も届いていない」という人もいると思う。

会社は、WEB・電子メール・書面・電話などで案内をしたと発表しています。ただ、登録していたメールアドレスを今は使っていなかったり、迷惑メールに入っていたりすることもあるよね。

確実に確かめたいときは、イエローハットの公式サイトから、専用の問い合わせ窓口を調べて連絡するのがいちばん確実です。 やり方は、後半の「今すぐやるべき3つのこと」で書くね。

今回流出した9種類の個人情報

次は、何が流出したのかを見てみよう。結論から言うと、第2報で確認されたのは全部で9種類。住所や生年月日も含まれています。

No.	流出が確認された情報	気をつけたいこと
1	氏名	本人らしい連絡を装われやすくなる
2	住所	郵便物を使った連絡にも注意
3	生年月日	本人確認の質問に使われないよう注意
4	性別	単体では悪用されにくい情報
5	電話番号	SMSや電話での連絡に注意
6	メールアドレス	不審なメールに注意
7	会員番号	「会員番号入り」の連絡が本物らしく見える
8	ログインID	他サービスで同じIDを使っていないか確認
9	パスワード（復元できない状態）	使い回しがないか確認

第1報では分からなかった住所・生年月日も判明

8月28日の第1報で公表されていたのは、氏名・電話番号・メールアドレス・会員番号の4項目でした。

10月15日の第2報で、そこに住所・生年月日・性別・ログインID・パスワード（復元できない状態）が加わって9項目になっています。調査が進んで、漏れた情報の全体像が見えてきた、という流れだね。

住所や生年月日は、あとで詳しく書く「本物らしい連絡」に使われやすい情報です。だから「9つ全部が自分の情報だった可能性がある」と考えて、行動を決めると安心だよ。

ログインIDとパスワードも対象に

もうひとつの大きな変化が、ログインIDとパスワードが対象に入ったことです。

ただし、パスワードについて会社は「復元できない状態」と説明しています。その意味と、私たちがやっておきたいことは、後ろのパスワードの章でゆっくり書くね。

クレジットカード情報は漏れていない

ここは、ほっとできるところだよ。今回の対象システムでは、クレジットカード情報の保持・取り扱いをしておらず、漏洩はない、と会社が説明しています。

だから、今回の情報漏洩を理由に、カードを今すぐ止めたり作り直したりする必要は、公式発表からは読み取れません。もちろん、カードの利用明細を普段からチェックする習慣は、いつでも大事だよね。

カード番号を尋ねる連絡には要注意

ここで気をつけたいのは、「情報漏洩のお詫び」を理由に、カード番号を聞いてくる連絡です。

メール・SMS・電話などで、カード番号や暗証番号の入力を求められたら、特に警戒してね。「今回の件で必要です」と言われても、すぐに応じないでください。

私なら、その連絡のリンクは開かず、自分でイエローハットの公式サイトを検索して開きます。そこから、案内が本当にあるのかを確かめるよ。

カード会社の明細は「いつもの習慣」で十分

カードが漏れていないとはいえ、気になる人もいるよね。

その場合は、特別なことをするより、月に一度の明細チェックをいつもどおり続けるので十分だと思います。覚えのない請求があれば、カード会社に連絡する。それだけで、今回の件とは関係なく、ふだんの安心度が上がるよ。

「復元できないパスワード」なら変更しなくて大丈夫？

気になるのは、パスワードの話だよね。結論から言うと、イエローハットのパスワードそのものより、「他のサービスでも同じパスワードを使っていないか」が大事です。

会社は、パスワードを「復元できない状態」と説明しています。それは安心材料のひとつ。でも、「復元できないから100％安全」と言い切ることはできないんだ。逆に、「簡単に解読される」と決めつけることもできません。

具体的な保存方式は公表されていない

ここは大事なところなので、はっきり書くね。

一般的には、パスワードを元に戻せないように変換して保存する方法があります。よく「ハッシュ化」と呼ばれるものだよ。ただし、イエローハットが具体的な保存方式を公表したわけではありません。

だから、この記事でも「どんな方式だったか」は断定しません。会社の説明は「復元できない状態」まで。そこから先は、私たち利用者が一般的な予防策をとる、という考え方がちょうどいいと思う。

他サイトで使い回しているなら変更を

いちばん現実的な対策は、イエローハットと同じパスワードを、他のサービスでも使っていないか確認することです。

使い回しがあるなら、ほかのサービスのパスワードも変えることを検討してね。優先したい順番は、こんなイメージだよ。

メールアカウント（他のサービスの再設定にも使われるので最優先）
通販サイト（楽天・Amazonなど）
SNS
銀行・証券・カードなどの金融サービス

もし使い回しをしていなかったとしても、気になるなら、イエローハットのログイン用パスワードを新しく変えておくと気持ちが楽になるよ。変えるときは、メールやSMSのリンクからではなく、自分で公式サイトを開いてからにしてね。

多要素認証もオンにしておくと心強い

もうひとつ、できる人にはおすすめしたいのが「多要素認証（二段階認証）」です。パスワードに加えて、スマホに届く確認コードなども入力する仕組みだよ。

万が一パスワードが知られても、コードがないとログインできません。メール、通販、SNS、金融サービスの順に、対応しているところからオンにしていこうね。

この「パスワードの使い回しが怖い」という話は、他の情報漏洩でも同じです。たとえばえきねっとの情報漏洩の記事でも、確認の流れをまとめているので、よかったら参考にしてみてね。

第1報と第2報では何が変わった？

ここで、第1報と第2報の違いを表で見比べてみよう。一言でいうと、「可能性」が「確認」になり、人数が確定し、流出項目が4つから9つに増えたんだ。

比較項目	第1報（8月28日）	第2報（10月15日）
発表日	2026年8月28日	2026年10月15日
漏洩状況	漏洩の可能性	漏洩を確認
人数	最大1,801,499人	1,797,124人
流出情報	氏名・電話番号・メールアドレス・会員番号	氏名・住所・生年月日・性別・電話番号・メールアドレス・会員番号・ログインID・パスワード
パスワード	第1報の対象には含まれていなかった	「復元できない状態」で対象に含まれる
クレジットカード情報	―	対象システムでは保持・取り扱いなし。漏洩なし

数字を引き算してみた

表の数字を、私も実際に計算してみたよ。第1報の「最大」から、第2報の「確定」までの変化は、こうなりました。

人数の差：1,801,499人 − 1,797,124人＝ 4,375人
確定した人数の割合：1,797,124 ÷ 1,801,499 ＝約99.76%
流出項目の数：4項目 → 9項目（5項目増）

つまり、人数は第1報の「最大」から約0.24％しか減っていません。「最大」と言っていた規模感は、ほとんどそのまま確定したと見ていいと思う。

私は正直、最終的な人数はもっと大きく減るのでは、と思っていました。でも、実際の数字を見ると、「自分は大丈夫かも」と期待するより、「確認しておこう」と切り替えるほうが現実的だな、と感じたよ。

なお、第1報の1,801,499人はあくまで「最大」の数字で、第2報の1,797,124人が確定した数字です。この二つを混同しないようにしてね。

イエローハット情報漏洩で今すぐやるべき3つのこと

ここからは、具体的な行動の話だよ。やることは3つ。この順番で十分です。

①使い回しているパスワードを変更

まずは、パスワードの確認から。次の手順でやってみてね。

イエローハットで使っていたパスワードを思い出す
同じ、または似たパスワードを使っているサービスを探す
メール、通販、SNS、金融サービスの順に、新しいパスワードへ変更する
変えたら、そのパスワードを他のサービスで使い回さない

新しいパスワードは、長めで他と重ならないものがいいよ。覚えきれないときは、パスワード管理アプリを使うのもひとつの方法です。

同じように「何をすればいいの？」を整理した記事として、タイムズカー情報漏洩の対応ガイドもあるよ。確認の考え方は共通しているので、あわせてどうぞ。

②SMS・メール内のURLを安易に開かない

2つ目は、SMSやメールの中のリンクを、すぐに開かないことです。

「情報漏洩のお知らせ」「確認が必要です」といった文面でも、本物かどうかは、リンクを押す前には分かりません。本物の通知かもしれないし、そうでないかもしれない。だから、メッセージの中のURLは、いったん押さないのが基本です。

③公式サイトから問い合わせ先を確認する

3つ目は、公式サイトから問い合わせ先を探すこと。

やり方は、とてもシンプルだよ。

メールやSMSにあるリンクは使わない
自分のスマホやパソコンで「イエローハット」と検索する
公式サイトを開き、情報漏洩に関するお知らせを探す
載っている問い合わせ窓口の案内を確認し、そこへ連絡する

「メールにあるリンクではなく、自分で検索して公式サイトへアクセスする」。この一手間だけで、偽サイトに誘導されるリスクをぐっと減らせるよ。電話番号も、届いたメッセージではなく、公式サイトに載っているものを使ってね。

「情報漏洩のお詫び」SMSやメールが届いたら？

ここも、気になる人が多いところだよね。まず前提として、「いま詐欺が大量に発生している」というような情報は、この記事では確認できていません。事実として書けるのは、「注意しておいたほうがいい」という予防の話だけだよ。

そのうえで、氏名・住所・生年月日・電話番号・会員番号などが漏れている以上、それらを含んだ、本物らしく見える連絡が届く可能性は考えられます。

氏名や会員番号が書かれていても信用しない

「〇〇様、会員番号××の件で…」と書かれていると、つい本物だと思っちゃうよね。

でも、氏名や会員番号が合っていても、それだけでは本物の証拠になりません。今回のように情報が漏れていれば、本人情報が入った連絡が送られることは、理屈の上ではありえるからなんだ。

私が実際に決めているルールは、これだけ。

個人情報が入っていても信用しない
急がせる文章ほど、いったん止まる
気になったら、公式サイトから自分で確認する

こうした偽の連絡に関しては、楽天のアカウント乗っ取りと詐欺の記事でも手口と対策をまとめているよ。見分け方の参考にしてね。

クレジットカード番号を求められたら要警戒

もうひとつの目印は、カード番号や暗証番号を入力させようとする文面です。

何度も書いているけれど、今回の対象システムではクレジットカード情報を扱っていない、と会社は説明しています。それなのに「カード情報の再入力」を求められたら、かなり警戒していい場面だと思うよ。

ここでも「100％詐欺」とは決めつけず、公式サイトから問い合わせ先を調べて確認する、が基本です。

もしリンクを押してしまったら

「うっかり押しちゃった」という人も、慌てなくて大丈夫。

何かを入力していなければ、まずは画面を閉じて、落ち着いて様子を見よう。IDやパスワードを入力してしまった場合は、そのサービスのパスワードをすぐ変更して、同じパスワードを使っている他のサービスも変えてね。カード番号を入力した場合は、カード会社に連絡するのが先だよ。

2りんかんの情報漏洩とは別の事件

ここでひとつ、混同しやすいポイントを書いておくね。イエローハットグループでは、2026年に「2りんかん」でも別の情報漏洩事案がありました。今回のイエローハット本体の件とは、分けて考える必要があります。

今回のイエローハット本体の事件との違い

今回の事件は、イエローハット本体の「WEB作業予約システム」への不正アクセスです。一方、2りんかんの件は、バイク用品の「2りんかんイエローハット」に関する別の事案として公表されています。

どちらもグループ内の話だけれど、同じ攻撃者・同じ侵入経路だと断定できる情報は、私が確認した範囲ではありません。この記事でも、ふたつを結びつけることはしないね。

混同しないためのコツ

ニュースを見るときは、「どの会社の、どのシステムの話か」を最初に確認するのがコツだよ。

イエローハット：WEB作業予約システム（この記事のテーマ）
2りんかん：2りんかんイエローハット側の別事案

バイクの2りんかんの会員でもあり、車でもイエローハットのWEB予約を使っていた人は、それぞれのお知らせを別々に確認してね。片方の通知が来たから安心、とは言い切れないよ。

まとめ｜イエローハット情報漏洩は、まずパスワードの使い回しを確認

ここまで読んでくれてありがとう。最後に、大事なポイントをもう一度だけ整理するね。

カード情報は今回のシステムから漏洩していない（会社の説明）
一方で、住所・生年月日・ログインIDなど9種類の情報が対象になっている
パスワードの使い回しがないか、メールや通販、金融サービスから順に確認する
不審なSMS・メールのリンクは開かず、公式サイトから自分で確認する

WEB予約を使ったことがある人は特に、今日のうちにパスワードの使い回しだけでも見直してみてね。それだけで、ずいぶん安心できるはずだよ。

この記事は2026年10月15日に公表された第二報時点の情報をもとに作成しています。今後、新たな発表や二次被害に関する情報が確認された場合は、随時更新します。

よくある質問

Q. クレジットカードは止める必要がありますか？

イエローハットは、今回の対象システムでクレジットカード情報を保持・取り扱いしておらず、漏洩はないと説明しています。公式発表からは、カードを止める必要は読み取れません。ふだんどおり明細を確認してね。

Q. パスワードは変更したほうがいい？

パスワードは「復元できない状態」と説明されていますが、保存方式は公表されていません。他のサービスで同じパスワードを使っているなら、そちらの変更を優先して検討してね。

Q. 店舗だけ利用した人も対象？

公式発表では、店舗だけを利用した人が対象かどうかは明記されていません。通知の有無を確認し、不安なときは公式サイトに載っている窓口へ問い合わせてね。

Q. 通知が来なければ対象外？

そうとは言い切れません。登録のメールアドレスが古い、迷惑メールに入っているなどの可能性があります。確実に知りたいなら、公式の窓口で確認してね。

Q. 現在二次被害は確認されている？

この記事では、被害が出ていると断定できる情報は確認できていません。最新の状況は、イエローハット公式サイトのお知らせで確かめてください。

Q. どこに問い合わせればいい？

届いたメールやSMSのリンクではなく、自分で「イエローハット」と検索して公式サイトを開き、情報漏洩に関するお知らせから専用の問い合わせ窓口を確認してね。

Q. 退会すれば、漏れた情報は消えますか？

退会しても、すでに外部へ流出した情報が取り消されるわけではありません。公式発表でも、退会者の扱いは明記されていないので、通知の有無で確認してね。

Q. 2りんかんの会員も今回の対象ですか？

2りんかんの情報漏洩は別の事案として公表されています。今回のイエローハット本体の件とは分けて、それぞれのお知らせを確認してね。

Q. 怪しいSMSのリンクを押してしまったら？

何も入力していなければ画面を閉じて様子を見ましょう。IDやパスワードを入力した場合は、すぐに変更し、使い回しているサービスも変更してね。カード番号を入力した場合は、カード会社へ連絡してください。

Q. 多要素認証（二段階認証）って何？

パスワードに加えて、スマホに届くコードなどを使って本人確認する仕組みです。パスワードが知られてもログインされにくくなるので、メールや金融サービスから順にオンにしておくと安心だよ。