日本汽車用品連鎖 Yellow Hat 個資外洩最終報：確認 179 萬 7,124 名會員，比第一報的可能外洩上限少 4,375 人，第一報列 4 項可能外洩資料，最終確認外洩 9 項；8 月寫「系統沒有保存密碼」，10 月把「無法還原形式」的密碼列入外洩

趨勢新聞2026 年 10 月 15 日

日本汽車用品連鎖 Yellow Hat（イエローハット）2026 年 10 月 15 日發布「第二報・最終報」，說明 8 月發現的「Yellow Hat WEB 作業預約系統」不正存取事件：第三方調查機構完成鑑識後，公司表示，確認外洩的是 179 萬 7,124 名 Yellow Hat 會員的資料。8 月 28 日第一報寫的是可能外洩的會員「最多 180 萬 1,499 人」，最終數字比這個上限少 4,375 人；第一報列出 4 項可能外洩的資料，最終報確認的是 9 項，另確認地址、出生日期、性別、登入 ID 與「無法還原狀態」的密碼外洩。

第一報的經過是：8 月 18 日早上偵測到系統遭不正存取，隨即切斷系統的外部連線，調查中發現保存在「Yellow Hat 會員伺服器」內的部分會員資料可能外流，10 天後的 8 月 28 日對外公告。最終報與偵測日兩個日期相隔 58 天，寫的是「透過日誌分析，確認了實際外洩件數」，並確認「部分顧客資料已流出到外部」（本站譯）。

兩份公告逐項對照

人數：第一報「最多 1,801,499 名」（可能外洩），最終報「1,797,124 名（Yellow Hat 會員）」。差 4,375 人，相當於第一報上限的約 0.24%。最終報說，數字是透過日誌分析確認的實際件數。

項目：第一報列「姓名、電話號碼、電子郵件、會員編號」4 項可能外洩的資料。最終報列「姓名、地址、出生日期、性別、電話號碼、電子郵件、會員編號、登入 ID、密碼（不可還原狀態）」9 項，並在註記寫明地址、生日、性別、登入 ID 與密碼是相對第一報「追加確認外洩」的部分（本站譯）。

密碼：兩份公告對密碼的描述明顯不同。第一報寫「信用卡資訊、密碼及車輛資訊，因本系統並未保存，所以沒有外洩」（本站譯）。最終報的密碼段落改為「密碼以無法還原的形式保管，不會因本次外洩的資訊而有帳號遭不正使用之虞」（本站譯）；信用卡一段仍寫系統不保存、不處理卡片資料，門市與網站付款都用外部系統。最終報沒有交代兩次公告對密碼的描述為何不同，僅憑這兩份公告，無法判定差異來自系統範圍還是調查認定的改變。

「沒有不正使用之虞」要看保存方式

本站的讀法：公告只說密碼以「無法還原」的形式保存，沒有揭露具體處理方式。若用的是密碼雜湊，攻擊者能不能拿候選密碼逐一比對而猜中，取決於演算法、有沒有加鹽、運算成本參數，以及會員設的密碼本身強不強；「無法直接還原」不等於「無法猜中」。僅憑這兩份公告，本站無法獨立驗證公司「沒有不正使用之虞」的判斷，這也不表示公司的判斷是錯的。

其餘處置依最終報：公司表示已用網站、電子郵件、書面、電話等方式個別通知受影響會員；已向個人情報保護委員會提交最終報告（確報）；將持續配合轄區警方偵查；截至最終報發布時，系統在安全強化與改修後已恢復運作，公司稱這些措施的有效性經第三方調查機構驗證。第一報另寫到，這套系統採用有別於集團其他公司的獨立管理系統，因此其他品牌門市的顧客不受影響。