阪急阪神百貨店「H2O ID」の情報漏えい(2026年10月公表)
結論から
- エイチ・ツー・オー リテイリングと阪急阪神百貨店は2026年10月19日、予約サイトを経由した不正アクセスで、共通会員ID「H2O ID」の約126万件の個人情報の一部が漏えいしたと公表しました。ほぼ全ての会員が対象です。
- 漏えいしたのは、氏名、性別、メールアドレス、住所、電話番号、生年月日などです。通販の「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスが確認され、注文履歴やカード情報の一部(下4桁など)は漏えいの有無を調査中です。
- 予約サイトは10月16日、通販2サイトは10月17日から停止しています。侵入経路は公表されていません。不正利用・二次被害は確認されておらず、会員にはメールで順次連絡しています(2026年10月30日時点)。
概要
- 公表日
- 2026年10月19日
- 検知・発覚
- 2026年10月16日
- 組織・業種
- エイチ・ツー・オー リテイリング/阪急阪神百貨店(「H2O ID」、予約サイト・HANKYU HANSHIN E-STORES・Remo Order)(百貨店 / 小売・EC・アパレル)
- 漏えいした情報・件数
- H2O ID 会員 約126万件(ほぼ全ての会員)。H2O ID、氏名(漢字・カナ)、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O ID で利用しているサービスの項目。ログインパスワードの漏えいは確認されていない。E-STORES・Remo Order の注文履歴、カード情報の一部(種別・下4桁・名義・有効期限)、ポイントカード情報の一部、アドレス帳は漏えいの有無を調査中(2026-10-30時点)
- 業務への影響
- 予約サイト(2026-10-16から)、HANKYU HANSHIN E-STORES と Remo Order(2026-10-17から)のシステム全体を停止。再開時期は未公表
- 犯行グループ(企業・当局の認定)
- なし(攻撃者は公表されていない)
- 行政の対応
- 確認後ただちに個人情報保護委員会へ報告し、所轄警察署へ被害申告(日付は未公表)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
会社・サービス別の影響と復旧状況(2026年10月30日時点)
| 会社・サービス | 止まったもの | 2026年10月30日時点の状況 |
|---|---|---|
| 阪急百貨店・阪神百貨店予約サイト(イベント・サービスの予約) | 2026-10-16 | 停止中。2026年10月30日に確認した時点でも、サイトは「システム障害のため休止」と表示。再開時期は未公表 [1] [3] |
| HANKYU HANSHIN E-STORES(公式通販) | 2026-10-17 | システム全体を停止(公式発表)。2026年10月30日に確認した時点で、サイトは「システムメンテナンスのためサービスを休止」と表示。再開の告知は確認できない [1] [4] |
| Remo Order(スマートフォンで注文するリモートショッピング。E-STORES の会員登録が必要) | 2026-10-17 | システム全体を停止(公式発表)。再開の告知は確認できない [1] |
経緯
-
「阪急百貨店・阪神百貨店予約サイト」を経由した、顧客管理システムへの不正アクセスを確認。外部からの不正な通信を遮断し、予約サイトのシステム全体を停止 [1]
-
通販の「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトのシステム全体を停止 [1]
-
調査で、H2O ID のうち約126万件の個人情報の一部の漏えいが判明し、公表。会員へのメールでの連絡を始める [1]
-
予約サイトは「システム障害のため休止」と表示。3サービスとも再開の告知はない [3]
-
予約サイトは「システム障害のため休止」の表示が続き、E-STORES のサイトは「システムメンテナンスのためサービスを休止」と表示(当社の確認)。3サービスとも再開の告知はない [4]
侵入経路と原因
会社によると、予約サイトを経由して、顧客管理システムに第三者が不正にアクセスしました。顧客管理システムは H2O ID の会員情報を管理しています。翌日には、通販の E-STORES と Remo Order でも不正アクセスが確認されました。
どんな弱点が使われたのか、いつから不正アクセスを受けていたのか、予約サイトからどうやって顧客管理システムに届いたのかは、2026年10月30日時点で公表されていません。会社は、原因の究明とセキュリティ上の脆弱性(システムの弱点)の解析を進めているとしています。
H2O ID は、2024年9月から阪急阪神百貨店の複数のサービスで使われている共通の会員IDです。会社は、予約サイト経由の漏えいで「ほぼ全ての」会員が対象になったとしています。
影響
漏えいしたのは H2O ID 会員の約126万件です。項目は、H2O ID、氏名(漢字・カナ)、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O ID で利用しているサービスの項目です。ログインパスワードの漏えいは確認されていません。
E-STORES と Remo Order が保持する情報(注文履歴、カード情報の一部、ポイントカード情報の一部、アドレス帳)は、漏えいの有無を調査中です。会社は、カードは種別・下4桁・名義・有効期限だけを保持し、全桁とセキュリティコードは持っていないため、不正に使われるおそれはないと説明しています。
業務への影響として、予約サイトと通販2サイトのシステム全体が止まっています。業績への影響は公表されていません。不正利用や二次被害は、10月19日時点で確認されていません。
会社の対応と再発防止策
会社は、不正な通信を遮断して3サービスを止め、同じ手口による新たな被害を防ぐ措置を終えたとしています。個人情報保護委員会へ報告し、所轄警察署へ被害を申告しました。脆弱性を直し、安全を確認してからサービスを再開する予定で、再開はホームページで知らせるとしています。
H2O ID の会員には、電子メールで順次連絡しています。送信元は noreply@h2o-retailing.co.jp です。会社を装ったメール・SMS・電話が届くおそれがあるとして、これ以外の送信元からの連絡に注意するよう呼びかけています。
問い合わせは、阪急阪神百貨店特設コールセンター(0120-110-256 または 0120-369-089、午前10時〜午後8時)と、H2O ID のお問い合わせフォームで受け付けています。公式の続報が出たら、このページを更新します。
この事案から学べること
- 共通の会員IDは便利な反面、1つの入り口から全会員の情報に届くことがあります。今回は予約サイトという1つのサービスを経由して、ほぼ全ての会員が対象になりました。
- 予約サイトのような周辺のサービスも、会員の情報を持つシステムにつながっていれば、本体と同じ重さで守る必要があります。どのサービスが顧客管理システムのどの情報を読めるのかを、把握しておくことが大切です。
- カード番号の全桁を持たない「非保持化」は、漏えいしたときの被害を小さくします。持たなくてよい情報を持たないことが、最も確かな対策の1つです。
- 公表と同時に、案内メールの送信元アドレスを示し、なりすましへの注意を呼びかけています。会員に連絡する事案では、本物の連絡を見分ける手がかりを先に示すことが、二次被害を減らします。
自社で確認すること
- 1 共通IDの会員情報に、どのサービス・どのシステムからアクセスできるかを一覧にしていますか?
- 2 予約や問い合わせなどの周辺サイトに、本体と同じ脆弱性診断と監視をしていますか?
- 3 カード番号の全桁など、業務に要らない情報を自社のシステムに持たない設計になっていますか?
同じ手口の事案
Webサービス・アプリ経由
- ギフティ (2026年10月26日) システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
- グッドスマイルカンパニー (2026年10月23日) 公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
- NP後払い (2026年10月22日) 後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
関連する事案
よくあるご質問
- 自分が対象かどうかは、どうすれば分かりますか?
- 会社は、ほぼ全ての H2O ID 会員の情報の一部が漏えいしたとしています。会員には noreply@h2o-retailing.co.jp からメールで順次連絡しています。確かめたい場合は、特設コールセンター(0120-110-256 または 0120-369-089)か、H2O ID のお問い合わせフォームに問い合わせてください。
- クレジットカード情報は漏れましたか?
- E-STORES と Remo Order が保持するカード情報の一部(種別・下4桁・名義・有効期限)は、漏えいの有無を調査中です(2026年10月30日時点)。会社は、カード番号の全桁とセキュリティコードは保持していないため、不正に使われるおそれはないと説明しています。
- パスワードは変えたほうがよいですか?
- 会社は、ログインパスワードの漏えいは確認されていないとしています。パスワード変更の呼びかけは、2026年10月30日時点の発表にはありません。会社を装ったメールやSMSのリンクから、パスワードを入力しないよう注意してください。
- 停止中の予約サイトや E-STORES は、いつ再開しますか?
- 未公表です。会社は、原因を究明して脆弱性を直し、安全が確認され次第再開する予定で、再開はホームページで知らせるとしています。2026年10月30日時点で、再開の告知は確認できません。
- 原因は何ですか?
- 予約サイトを経由して、H2O ID の会員情報を管理する顧客管理システムに不正アクセスを受けたことです。どんな弱点が使われたかは公表されておらず、会社が調査を進めています。
出典
- 第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ ↗ (エイチ・ツー・オー リテイリング株式会社・株式会社阪急阪神百貨店、2026-10-19)
- 第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ(お客様向け) ↗ (株式会社阪急阪神百貨店、2026-10-19)
- 阪急百貨店・阪神百貨店のイベント・サービス予約サイト(メンテナンス中の表示。2026-10-21・10-30に確認) ↗ (株式会社阪急阪神百貨店、2026-10-30)
- HANKYU HANSHIN E-STORES 会員ログイン(10-21 は H2O ID への移行の案内、10-30 はメンテナンスのため休止の表示) ↗ (株式会社阪急阪神百貨店、2026-10-30)
- 阪急阪神百貨店、個人情報流出 顧客の氏名など126万件の一部 ↗ (日本経済新聞、2026-10-19)
- 阪急阪神百貨店などの共通ID、ほぼ全会員分漏えい 約126万件 予約サイトに不正アクセス ↗ (ITmedia NEWS、2026-10-19)
- 阪急・阪神百貨店、126万件の情報流出 「クレカ情報の一部」漏えいの可能性も ↗ (ITmedia ビジネスオンライン、2026-10-20)