# イエローハット（9882） 連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ【第三報】

Source: Komori (komori.app) — https://komori.app/company/9882/disclosure/20260619574803
種別: 発生事実
開示日: 2026-06-19
Komoriの読み（0-100）: 57
企業ページ: https://komori.app/company/9882

## 何が変わったか

連結子会社の株式会社２りんかんイエローハットで発生した不正アクセスについて、フォレンジック調査が完了し、個人情報3,179,454名分の漏えいを特定した。アプリの再構築などの再発防止策を進め、2026年10月を目途にアプリを再開する予定。

## 会社が挙げた理由

攻撃者が2りんかんモバイルアプリ内の情報を窃取した結果、アプリを使わずに個人情報を取得できるAPIが呼び出され、顧客Webサーバーから顧客データが取得された。

## 開示の要点

- 事象の名称: 連結子会社における不正アクセスによる個人情報漏えい
- 発生日: 2026年4月20日 4:54よりAPIの呼び出しが行われ、顧客データが取得された
- 認知日・通知受領日: 2026年4月20日に不正アクセスを検知
- 対象となる主体: 株式会社２りんかんイエローハット
- 対象拠点・対象製品: ２りんかんモバイルアプリ、顧客WEBサーバー、２りんかん会員システム
- 原因: 攻撃者が２りんかんモバイルアプリ内の情報を窃取した結果、アプリを使用せずに個人情報を取得可能なＡＰＩの呼び出しが行われた
- 業績への影響額: not_disclosed
- 計上する会計期間: not_disclosed
- 業績予想への影響: 上記の対応・対策費用が当社の連結業績に重要な影響を及ぼす見込みはございません
- 訴訟・手続きの種類: 個人情報保護委員会への最終報告、所轄警察への被害申告および捜査協力
- 裁判所・当局: 個人情報保護委員会、所轄警察
- 原告: not_disclosed
- 被告: not_disclosed
- 提訴日・処分日: not_disclosed
- 請求額・課徴金額: not_disclosed
- 回収不能または回収遅延のおそれが生じた債権の額: not_disclosed
- 停止した業務: ２りんかんアプリの利用制限
- 再開予定日: 2026年10月を目途
- 調査体制: 第三者の調査会社によるフォレンジック調査
- 再発防止策: （１）２りんかんアプリのセキュリティ強化；（２）ＡＰＩの変更と見直しの実施；（３）不正アクセスの監視強化、および異常検知時のブロック機能の強化
- 役員の責任: not_disclosed
- 異動前の議決権所有割合: not_disclosed
- 異動後の議決権所有割合: not_disclosed
- 今後の見通し: セキュリティ体制の見直し、システム再構築を行い、2026年10月を目途にアプリを再開する。個人情報保護委員会との連携、所轄警察への被害申告および捜査協力を継続する
- 続報の予定: アプリの再開に関する案内を２りんかんホームページに掲載する

## 評価の根拠

- 会社自身が述べる影響の程度はどの水準か。: 予想は据え置き（原文: 「「上記の対応・対策費用が当社の連結業績に重要な影響を及ぼす見込みはございません。」」）
- この事象は損失をもたらすものか、利益をもたらすものか。: 小幅な下振れ（原文: 「「個人情報漏えい」および「連結業績に重要な影響を及ぼす見込みはございません」」）
- 業績予想との関係について、この書類は何と書いているか。: 予想は据え置き（原文: 「「当社の連結業績に重要な影響を及ぼす見込みはございません。」」）
- 示された影響額は、会社の利益・売上の規模に対してどの程度か。: 相対規模は不明（原文: 「対応・対策費用について金額の記載がない。」）
- 影響が及ぶ範囲はどこまでか。: 単一セグメント（原文: 「「２りんかんの会員システムは、株式会社イエローハットおよび他子会社のシステムとは異なるネットワーク」および「イエローハット並びに他ブランドのお客様への影響はございません。」」）
- 出荷・生産・販売の停止、拠点の閉鎖、サービスの停止が生じたと書かれているか。: あり（原文: 「「現在利用制限させていただいております『２りんかんアプリ』」」）
- 影響額の開示状況はどれか。: 金額の記載なし（原文: 「「対応・対策費用が…重要な影響を及ぼす見込みはございません」とあるが、金額の記載はない。」）
- 事象の発生日または会社が認知した日が、特定の日付で示されているか。: あり（原文: 「「2026年４月20日 4:54より…顧客データが取得された」および「４月20日に不正アクセスを検知」」）
- 相手方・対象拠点・対象製品・対象契約が固有名で特定されているか。: あり（原文: 「「株式会社２りんかんイエローハット」「２りんかんモバイルアプリ」「顧客WEBサーバー」」）
- 主要な事実に数値と時期がついているか。: 数値と時期あり（原文: 「「3,179,454名様分」「2026年４月20日 4:54」「2026年10月を目途」」）
- 肝心の数値を、別紙・同日開示の他資料・決算短信に委ねているか。: なし（原文: 「「漏えい件数が3,179,454名様分であったことを特定いたしました。」」）
- 事象はどこまで収束しているか。: 対応中（原文: 「「調査を完了いたしました」および「2026年10月を目途に…再開するべく準備を進めております」「捜査協力を継続しております」」）
- この書類は、この事象についての何度目の開示か。: 続報（原文: 「表題「【第三報】」および「2026年4月23日付で公表いたしました…事案」」）
- 前回の開示と比べて、事象は拡大したか、収まったか。: 前回より収束（原文: 「「第二報までは…最大3,455,754名様分」から「3,179,454名様分であったことを特定」および「ネットワーク内の他サーバーへの侵害痕跡がない」」）
- 続報の予定はどう書かれているか。: 続報に触れず（原文: 「「再開に関するご案内は、本日より２りんかんホームページに掲載」」）
- 第三者委員会・特別調査委員会・外部専門家の関与が示されているか。: あり（原文: 「「第三者の調査会社による調査を完了いたしました」」）
- 影響についての記述はどれだけ断定的か。: 概ね断定的（原文: 「「3,179,454名様分であったことを特定」および「2026年10月を目途」「重要な影響を及ぼす見込みはございません」」）
- 事象の原因はどこにあるか。: 外部要因（原文: 「「攻撃者が２りんかんモバイルアプリ内の情報を窃取した結果」」）
- 事象はどの主体で起きたか。: 連結子会社（原文: 「表題「連結子会社における不正アクセス」および「株式会社２りんかんイエローハット」」）
- 法的・行政的な手続きはどの段階にあるか。: 当局の調査対象（原文: 「「個人情報保護委員会への最終報告（確報）の提出を終え」および「所轄警察への被害申告を行い、捜査協力を継続」」）
- 自社の開示手続きについて、この書類は何を認めているか。: 開示上の問題なし（原文: 「「第二報までは…最大3,455,754名様分」と過去の報告内容を説明しているが、開示手続き上の問題は記載されていない。」）
- 再発防止についてどこまで書かれているか。: 具体的な再発防止策（原文: 「「（１）２りんかんアプリのセキュリティ強化」「（２）ＡＰＩの変更と見直しの実施」「（３）不正アクセスの監視強化、および異常検知時のブロック機能の強化」」）
- 役員報酬の減額、処分、辞任など、責任の所在に踏み込んだ記載があるか。: なし（原文: 「役員の責任に関する記載なし。」）
- 株主・顧客・関係者への謝罪の文言があるか。: あり（原文: 「「お客様および関係者の皆様には、多大なるご迷惑とご心配をおかけしておりますことを、改めて深くお詫び申し上げます。」」）