エイチ・ツー・オー リテイリングと阪急阪神百貨店は2026年10月19日、阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」で第三者による不正アクセスが発生し、顧客の個人情報の一部が漏えいしたと発表しました。共通会員ID「H2O ID」の約126万件について、氏名・住所・生年月日などの一部が漏えいしたことが判明しています。
公表時点で、本件に起因すると考えられる不正利用や二次被害は確認されていません。ただし翌20日には、阪急阪神百貨店が「H2O ID」を騙る不審メールへの注意を呼びかけています。この記事では、公式発表をもとに経緯、漏えいした情報、会社の対応と利用者が注意すべき点を整理します。
予約サイト経由の不正アクセスで、3つのサイトを停止
| 日付 | 出来事 |
|---|---|
| 2026年10月16日（金） | 「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスを確認。不正な通信の遮断などの緊急措置をとり、同サイトのシステム全体を停止 |
| 2026年10月17日（土） | 「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトのシステム全体を停止 |
| 2026年10月19日（月） | 顧客管理システムで管理する「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明し、公表。同日14時に「HANKYU HANSHIN E-STORES」を再開 |
| 2026年10月20日（火） | 阪急阪神百貨店が「H2O ID」を騙る不審メールへの注意を呼びかけ |
「HANKYU HANSHIN E-STORES」は、再発防止策と安全確認が完了したとして10月19日14時に再開しました。予約サイトとRemo Orderについては、原因の究明とセキュリティ脆弱性の修正を行い、安全が確認され次第再開する予定で、再開時はホームページで知らせるとしています。
H2O ID会員はほぼ全員、氏名・住所・生年月日などが漏えい
漏えいの範囲は、どのサイトを経由したかで分けて発表されています。
予約サイト経由：H2O ID会員 約126万件（漏えいが判明）
公式発表は「現在調査中ですが、ほぼ全ての『H2O ID』会員の個人情報の一部が漏えいしました」としています。対象となる情報は次のとおりです。
- H2O ID
- 氏名（姓名・漢字カナ）
- 性別
- メールアドレス
- 郵便番号、住所
- 携帯電話番号、電話番号
- 年齢、生年月日
- H2O IDでのご利用サービス項目
HANKYU HANSHIN E-STORES・Remo Order経由：漏えいの可能性を調査中
こちらは漏えいの可能性について調査中で、同サービスが保持している情報として次の項目が示されています。
| 保持している情報 | 公式発表の補足 |
|---|---|
| 商品注文履歴 | － |
| クレジットカード情報の一部（カード種別、カード番号の下4桁、名義、有効期限） | 決済情報の非保持化に対応しており、カード番号全桁とセキュリティコードは一切保持していないため、不正に利用されるおそれはない |
| ポイントカード情報の一部（ポイントカード種別、カード番号の下4桁） | 保持しているのは下4桁のみのため、保有ポイントを不正に利用されるおそれはない |
| アドレス帳の情報 | － |
ログインパスワードの漏えいも確認されていないとしています。
会社は個人情報保護委員会へ報告し、会員へメールで順次連絡
- 対象サービスのホームページと機能について、同様の手口による新たな被害・影響の拡大を防ぐ措置を完了
- 本件発生の確認後、直ちに個人情報保護委員会へ報告し、所轄警察署へ被害申告を実施
- H2O ID会員へ電子メールで順次連絡
- 詳細な原因究明と、セキュリティ脆弱性の解析・調査を継続中。新たな事実が判明した場合はホームページ等で開示
利用者がとるべき対応は「H2O IDを騙る連絡」への警戒
不審なメール・SMS・電話に注意する
H2O IDに登録したメールアドレスや電話番号あてに、同社を装った不審なメール、SMS、電話などが届く可能性があると公式発表は注意を促しています。身に覚えのない連絡や不審なURLには十分注意してください。
H2O IDを騙る詐欺メールはすでに確認されている
阪急阪神百貨店は10月20日、「H2O ID」を騙り、メール内のバナーやリンクから不審なサイトへ誘導してクレジットカード番号や個人情報を入力させようとする詐欺メールが確認されていると発表しました。同社がこうしたメールを送ることは一切ないとしています。届いた場合も、メール内のバナーやリンクはクリックせず、カード番号や個人情報を入力しないでください。
正規の案内は送信元アドレスで確認する
同社から顧客へ送る案内の送信元メールアドレスは noreply@h2o-retailing.co.jp です。これ以外の送信元からの連絡には注意するよう案内されています。
筆者としてすすめたいこと
公式発表には記載がありませんが、今回漏えいした情報には住所と生年月日も含まれます。筆者としては、メールやSMSだけでなく、郵便や電話で届く「阪急・阪神百貨店」を名乗る連絡にも、記載された連絡先を使わずに公式サイトの窓口から確かめることをすすめます。
問い合わせ先
| 窓口 | 阪急阪神百貨店特設コールセンター |
| フリーダイヤル | 0120-110-256 または 0120-369-089 |
| 受付時間 | 午前10時～午後8時 |
| お問い合わせフォーム | https://h2o-id.h2o-retailing.co.jp/web/contact |
まとめ
阪急阪神百貨店の予約サイトなどへの不正アクセスで、H2O IDの約126万件について氏名・住所・生年月日などの一部が漏えいしました。HANKYU HANSHIN E-STORESとRemo Order経由の注文履歴などは、漏えいの可能性を調査している段階です。カード番号全桁やセキュリティコードは保持しておらず、ログインパスワードの漏えいも確認されていません。すでにH2O IDを騙る詐欺メールが確認されているため、メール内のリンクからカード番号などを入力しないよう注意してください。
出典：阪急阪神百貨店「弊社『H2O ID』を騙る不審メールにご注意ください」（2026年10月20日）
元記事URL：https://www.hankyu-dept.co.jp/honten/info/detail/__icsFiles/afieldfile/2026/10/20/1020owabi.pdf
出典：阪急阪神百貨店「阪急阪神百貨店公式通販サイト『HANKYU HANSHIN E-STORES』再開のお知らせ」（2026年10月19日）
元記事URL：https://www.hankyu-dept.co.jp/honten/info/detail/__icsFiles/afieldfile/2026/10/19/1019owabi2.pdf
出典：阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日）
元記事URL：https://www.hankyu-dept.co.jp/honten/info/detail/__icsFiles/afieldfile/2026/10/19/1019owabi1.pdf
出典：エイチ・ツー・オー リテイリング「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日）
元記事URL：https://www.h2o-retailing.co.jp/ja/news/auto_20261019552921.html
コメント