0120-405-092はイエローハットの相談窓口｜折り返す前に確かめること

2026.08.312026.09.27

この記事は公開時点の情報です（2026年9月27日追記）
2026年9月27日時点で、イエローハットの公表文（2026年8月28日付）に続報の追記は確認できません。同社は「新たな事実が判明した場合には、速やかに当社ホームページにてお知らせいたします」としています。なお同公表文によると、専用相談窓口0120-405-092の受付は2026年10月13日以降、平日10時〜19時に変わります。

2026年8月28日、イエローハットが「イエローハットＷＥＢ作業予約システム」への不正アクセスと、それに伴う個人情報漏えいの可能性を公表しました。対象は最大1,801,499名分。漏えいの可能性がある項目は、氏名、電話番号、メールアドレス、会員番号です。

同社の発表では、クレジットカード情報、パスワード、車両情報は当システムでは保持していないため漏えいはない、と説明されています。この一文を読んで「では実害はないのか」と受け取るかどうかで、この先の数週間の過ごし方が変わります。連絡先だけが外に出たケースで起きやすいのは、その場での金銭被害ではなく、出てしまった連絡先を使った次の詐欺だからです。

この記事では、公表された内容を事実として整理したうえで、利用者の側で今日できる確認と備えを具体的に見ていきます。

公表された内容を時系列で整理する
「カード情報は無事」でも警戒が必要な理由
紛らわしいのは「本物の案内」と「偽の案内」が同時に届く時期
自分が対象かどうかを確かめる
連絡先が漏れた前提で、今日やっておく3つ
不審な連絡が来たときの手順
制度上、これから何が起きるか
まとめ
関連して読みたい記事
参考情報・出典

公表された内容を時系列で整理する

イエローハットが公開した「イエローハットにおける不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年8月28日）によると、経緯は次のとおりです。

2026年8月18日（火）朝：不正アクセスを検知し、直ちにシステムの外部接続を遮断するなどの緊急措置を実施
その後：影響範囲等の調査を進める中で、個人情報漏えいの可能性が判明
2026年8月28日：公表。同日時点で「システム上の対策を完了しております」と記載

漏えいの可能性がある情報は以下のとおりです。

項目	内容
対象システム	イエローハットＷＥＢ作業予約システム
漏えいの可能性がある情報	氏名、電話番号、メールアドレス、会員番号
対象人数	最大1,801,499名様
漏えいがないとされる情報	クレジットカード情報、パスワード、車両情報（当システムでは保持していないため）

同社は個人情報保護委員会への報告と警察への相談を行っていると記載しています。ITmediaも同日18時27分に「イエローハット、最大180万人分の情報漏えいか　作業予約システムに不正アクセス」として報じました。

利用者向けには専用相談窓口が設けられています。フリーダイヤル0120-405-092で、受付時間は8月28日から10月12日までが毎日10:00〜19:00、10月13日以降は平日10:00〜19:00です。

そしてもう1点、この記事でいちばん重要になる記載があります。対象者に対しては「準備が出来次第、電子メール、ＳＭＳ、お電話および書面にてお詫びと注意喚起のご案内を差し上げます」とされていることです。

なお、対象がいつからいつまでの利用者にあたるのかという期間の記載は、この発表には含まれていません。二次被害の有無についても記載がありません。ここは推測せず、続報を待つ部分になります。

「カード情報は無事」でも警戒が必要な理由

漏えいの可能性がある4項目は、それ単体で買い物ができるものではありません。カード番号もパスワードも含まれていないので、そのまま決済に使われる性質のデータではないわけです。

ただし、詐欺のメールやSMSを作る材料としては十分です。氏名と会員番号を知っている相手から、登録済みのメールアドレスや電話番号に連絡が来れば、多くの人は「その会社からの連絡だ」と判断します。差出人を疑う前に本文を読み始めてしまう、という順番になりがちです。

フィッシングの母数そのものも大きいままです。フィッシング対策協議会の月次報告によると、2026年7月に同協議会へ寄せられたフィッシング報告件数は66,119件でした。前月より6,251件減少し、約8.6%減とされていますが、報告を受けたフィッシングサイトのURL件数（重複なし）は前月より1,026件増加して43,267件、悪用されたブランド件数は101件です。ブランド別ではAmazonが約37.0%、Appleが約11.8%、セゾンカードが約7.7%で、上位5ブランドで全体の約68.6%を占めています。

同報告では、クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まることが重要だと呼びかけられています。

パソコンの画面に表示された「Security」の項目にマウスカーソルを合わせたところ

紛らわしいのは「本物の案内」と「偽の案内」が同時に届く時期

今回の構図で注意が要るのは、同社が電子メール、SMS、電話、書面での案内を予告している点です。つまりこれから、イエローハットを名乗る連絡が実際に届きます。本物が届く時期は、偽物にとっても紛れ込みやすい時期です。

対処の考え方は1つに絞れます。届いた案内の中にあるリンクや電話番号を使わないことです。案内が本物かどうかを見分けようとするのではなく、案内をきっかけに、自分の側から公式の入口へ行きます。具体的には、ブックマーク済みの公式サイト、いつも使っている公式アプリ、そして今回公表されているフリーダイヤル0120-405-092を、自分で入力して辿ります。

フィッシング対策協議会の「フィッシングとは」でも、対策として「いつも」の公式アプリ、「いつも」の公式サイト（ブックマーク）から開く習慣が挙げられています。同ページでは、差出人のメールアドレス、URLの鍵マーク、日本語の自然さといった手掛かりだけでは本物と偽物の判別が難しいこと、そして思い込んでいる時、急いでいる時、疲れている時に「ついうっかり」が起こりやすいことにも触れられています。

見分けようとする方向に力を使わない、というのがポイントです。見分けは難しく、入口を固定するのは簡単だからです。

自分が対象かどうかを確かめる

対象者の範囲が公表されていない以上、自分が最大1,801,499名に含まれるかどうかを、手元だけで確定させることはできません。それでも、手掛かりになる確認は数分でできます。

まず、メールの受信箱を「イエローハット」で検索します。WEB作業予約を使ったことがあれば、予約の受付や完了を知らせるメールが残っている可能性があります。検索対象は迷惑メールフォルダとアーカイブも含めてください。次に、そのメールに会員番号の記載があるかを見ます。あれば、そのアドレスと会員番号の組み合わせが登録されていたことになります。

ここで大事なのは、逆は成り立たないという点です。検索して何も出てこなかったとしても、対象外だと確定はしません。過去にメールを削除している、別のアドレスで登録している、家族が同じ電話番号で予約している、といった可能性が残るからです。

確実に確認したい場合は、専用窓口に問い合わせます。電話をかけるときは、届いたメールやSMSに書かれた番号ではなく、公表されているフリーダイヤルを自分で入力してください。この一手間が、今回のような局面では効きます。

ノートパソコンの画面に「CYBER SECURITY」と赤い文字で表示されている様子

連絡先が漏れた前提で、今日やっておく3つ

対象かどうかが確定しなくても、先にやっておいて損のない備えがあります。3つに絞ります。

1つ目は、折り返しの経路をあらかじめ決めておくことです。 「イエローハットから連絡が来たら、必ず0120-405-092にこちらからかける」と決めておきます。決めるだけで、急いでいるときの判断が1回減ります。家族が使う電話であれば、この番号をメモして電話機の近くに置いておくと確実です。

2つ目は、同じメールアドレスを使い回しているアカウントの守りを固めることです。 メールアドレスが出回ると、そのアドレスを起点にした不正ログインの試行が増えます。ここで効くのはパスワードの使い回しをやめることと、二段階認証を有効にしておくことです。認証アプリの設定や機種変更時の引き継ぎは二段階認証アプリの移行方法｜Google・Microsoft Authenticatorの引き継ぎ手順にまとめています。パスワードそのものを使わないパスキーを使っている場合は、保存先によって引き継ぎの条件が変わるため、パスキーは保存先しだいで、PCを買い替えると使えなくなるもあわせて確認しておくと安心です。

3つ目は、家族への共有です。 今回漏れた可能性があるのは電話番号を含みます。実名で電話がかかってきても、その場で生年月日、住所、カード番号、暗証番号、認証コードを答えないという一点だけ、同居していない家族にも伝えておきます。特に、SMSで届いた6桁の数字を電話口で読み上げないことは、それだけで防げる被害が多い項目です。

不審な連絡が来たときの手順

実際に怪しい連絡が届いた場合の順番も、先に決めておくと迷いません。

開かない、押さない、折り返さない。 メールの添付ファイル、SMSのリンク、着信の折り返しは、いずれもその場では行いません。
記録する。 画面のスクリーンショット、受信日時、差出人アドレスや電話番号を残します。後から相談する場合、この記録があるかどうかで話が早く進みます。時系列の残し方はネット通販トラブルの経緯を時系列でまとめる方法｜相談メモの作り方の考え方がそのまま使えます。
公式の入口から確認する。 ブックマークまたは公表済みのフリーダイヤルから、そういう案内を出しているかを確認します。
必要に応じて相談する。 被害の通報や相談は、警察庁が設けている「サイバー事案に関する通報、相談及び情報提供の全国統一のオンライン受付窓口」から行えます。e-Gov電子申請システム経由で、住所地の都道府県警察に通知される仕組みです。人命に関わる事案は最寄りの警察署へ、緊急を要するものは110番と案内されています。ウイルスや不正アクセスなどの技術的な相談であれば、IPAの情報セキュリティ安心相談窓口（電話03-5978-7509、平日10:00〜17:00、1回30分まで。メールはanshin@ipa.go.jp）が使えます。フィッシングそのものの報告先はフィッシング対策協議会です。
金銭が動いた場合は先に止める。 身に覚えのない請求があれば、カード会社や金融機関の連絡先に自分から連絡します。

制度上、これから何が起きるか

今回の公表と専用窓口の設置は、個人情報保護法の枠組みに沿った動きとして読めます。

個人情報保護委員会によると、令和4年4月1日から、個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるときは、同委員会への報告と本人への通知が義務化されています。報告が必要となる事態として挙げられているのは、要配慮個人情報が含まれる事態、財産的被害が生じるおそれがある事態、不正の目的をもって行われた漏えい等が発生した事態、1,000人を超える漏えい等が発生した事態の4つです。報告は速やか（概ね3〜5日以内）に行うこととされ、本人への通知は「当該事態の状況に応じて速やかに、概要、個人データの項目、原因などの内容を本人にとって分かりやすい方法で」行うこととされています。本人への通知が困難な場合には、ホームページ等での公表と問合せ窓口の設置という代替措置が示されています。

今回は不正アクセスによるもので、対象人数も1,000人を大きく超えます。ホームページでの公表と専用窓口の設置がすでに行われ、個別の案内も予告されている、という現在地です。

利用者の側から見ると、これは「この先しばらく、イエローハットからの連絡が実際に届く」ということでもあります。本物の連絡が動く時期には、それを模した偽の連絡も出てきます。案内が届いたときにリンクを押さず、自分で公式の入口に行く。この習慣を、少なくとも案内が一巡するまでは維持しておくのが現実的です。