今度は項目が増えた。最終報まで読まないと分からない

• 対象は1,797,124名。ログ解析で実数が特定された
• 第一報には無かった項目が5つ増えた
• パスワードは復元できない形式と明記されている

イエローハットが10月15日、WEB作業予約システムへの不正アクセスについて第二報・最終報を公表した。

前日に書いたヤマトの件では、続報で対象項目が減った。今回は逆に増えている。並べて読むと、続報の性質がよく分かる。

第一報から増えた項目

公式に、こう明記されている。

第一報時点より、住所、生年月日、性別、ログインID、パスワード（復元できない状態）の追加漏えいが確認されました。

最終的な項目は次のとおりになる。

対象は1,797,124名。これもログ解析により実際の漏えい件数を特定したとされており、推定ではなく実数になる。

続報は、どちらにも動く

ここ数日の2件を並べると、はっきりする。

• ヤマト — 第2報にあった「請求金額」「債権残高」が、第4報で否定された
• イエローハット — 第一報に無かった5項目が、最終報で追加された

つまり途中の報告は、多くも少なくもなりうる。第一報だけを読んで判断を終えると、どちらの方向にもずれる。

第一報の読み方に書いたとおり、確定と途中経過を分けるしかない。そして最終報が出たら、もう一度読む。

パスワードの書き方

項目にパスワードが入っているが、公式は見出しを立てて説明している。

パスワードは復元できない形式で保管しており、今回漏えいした情報によるアカウントの不正利用の恐れはありません。

この書き方は強い。ソースネクストの件では項目に「パスワード」とだけ書かれ、保管形式の記載が無かった。だからあちらは他のサービスのパスワード変更が最優先になった。

今回は形式が書かれている。同じ「パスワードが漏れた」でも、やることが変わる。

3段階で読み分ける

この秋の各社を並べると、パスワードの扱いは3つに分かれる。

真ん中と下は、見出しだけ読むと区別がつかない。本文の注記まで読む価値があるのはここになる。

カード情報について

公式はこう書いている。

当システムではクレジットカード情報を保持・取り扱いを行っておりません。また、店頭やECサイトの決済も外部システムを利用しているため、クレジットカード情報の漏えいはございません。

「保持していない」だけでなく、決済そのものを外部に任せていることまで書いてある。持たない設計を、理由ごと説明している形になる。

前日に書いたACCESSの件では、決済が未完了だった受注のカード情報だけが残っていて漏れた。持たない設計がどこまで徹底されているかで、結果が変わる。

調査と再発防止

第三者調査機関によるフォレンジック調査（ログやデータを解析し、全容と原因を解明する調査）を実施し、原因究明と影響範囲の特定を完了したとされている。

再発防止についても、一文が目を引く。

今回実施したセキュリティ強化およびシステム改修につきましては、第三者調査機関による検証においてもその有効性を確認しております。

直したことを、直した本人以外が確かめている。ここまで書いている発表は多くない。加えて、定期的な脆弱性診断を継続するとしている。

通知はすでに完了している

対象者への連絡について、公式はWEB、電子メール、書面、電話等で個別のお知らせとお詫びを完了しているとしている。

この秋の他社では「順次ご連絡」の段階のものが多かった。完了しているという書き方は、最終報だからこそになる。専用の相談窓口も継続して設置されている。

利用者がすること

1. 個別の連絡が来ていたか確認する。すでに完了しているとされている
2. 不審なメールやSMSに注意する。URLや添付を開かない
3. パスワードの総入れ替えは不要。復元できない形式と明記されている
4. ただし使い回しは、この件と関係なく見直す。別の問題として残る

住所・生年月日・性別が追加されたぶん、本物らしい連絡は作りやすくなっている。判定の手順は変わらない。届いた連絡のリンクを使わず、自分で開く。

まとめ

• 対象は1,797,124名。ログ解析で特定された実数
• 第一報から5項目が追加（住所・生年月日・性別・ログインID・パスワード）
• 続報は減ることも増えることもある。最終報まで読む
• パスワードは復元できない形式と明記。不正利用の恐れはないとされている
• カード情報は保持しておらず、決済も外部システム
• 再発防止策の有効性を第三者調査機関が検証している
• 対象者への個別連絡は完了済み

出典

• 株式会社イエローハット「イエローハットにおける不正アクセスによる個人情報漏えいに関するお詫びとお知らせ【第二報・最終報】」（2026年10月15日）（調査概要と結果、対象人数、漏えいした項目と第一報からの追加分、パスワードとクレジットカードに関する説明、対応と再発防止、問い合わせ窓口）

本記事は2026年10月16日時点で公表されている内容に基づく。公式が最終報と位置づけている発表であり、件数はログ解析により特定された実数とされている。本記事は法的な助言ではない。