H2Oリテイリング・阪急阪神百貨店の予約サイト等への不正アクセス（H2O ID 約126万件の個人情報漏えい）
公表日
エイチ・ツー・オー リテイリングと阪急阪神百貨店は、予約サイトなどへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。により、会員ID「H2O ID」のうち約126万件の個人情報の一部が漏えいしたと2026年10月19日に発表しました。
対象者は？
H2O IDの会員（ほぼ全員が対象とされ、現在調査中）。漏えいしたのは、H2O ID、氏名、性別、メールアドレス、郵便番号、住所、電話番号、年齢、生年月日、H2O IDでのご利用サービス項目です。ログインパスワードの漏えいは確認されていません。HANKYU HANSHIN E-STORESとRemo Orderをご利用の方は、注文履歴やカード情報の一部（カード種別・下4桁・名義・有効期限）などが漏えいしたかどうかを調査中です。カード番号の全桁とセキュリティコードは保持していません。
対象のH2O ID会員には、noreply@h2o-retailing.co.jp から電子メールで順次連絡が行われています。詳しくは会社の発表をご確認ください。
いますぐできること
- 会社を名乗るメール・SMS・電話が届いても、本文のリンクは開かず、パスワードやカード情報を答えないようにする。
- 会社からの案内メールの送信元が noreply@h2o-retailing.co.jp かを確認する。
- カードの利用明細に身に覚えのない請求がないか、念のため確認する。
何が起きたのか
2026年10月16日、阪急百貨店・阪神百貨店の予約サイトを経由して、顧客情報を管理するシステムに外部の第三者が不正に入ったことが確認されました。会社は同日、不審な通信を遮断し、予約サイトを停止しました。17日には「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が確認され、2つのサイトも停止されました。19日、H2O IDのうち約126万件の個人情報の一部が漏えいしたことが分かり、会社が発表しました。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への被害申告も行われています。
なぜ起きたのか・なぜ広がったのか
入り込まれた原因はまだ発表されていません。会社は、原因の調査と、システムの弱点（脆弱性）の分析を進めているとしています。
いまの状況2026-10-19 時点続報待ち
2026年10月19日時点で、3つのサイトは停止中で、再開時期は発表されていません。会社は、原因の究明と弱点の修正を行い、安全が確認され次第、再開する予定です。同様の手口による新たな被害を防ぐための措置は完了したとしています。現時点で、この件による不正利用や二次被害は確認されていません。侵入の原因や、E-STORES・Remo Orderでの漏えいの有無は、まだ発表されていません。
企業として考えたいこと
自社の会員情報を管理するシステムに、予約やネット通販などの窓口が複数つながっている場合、そのうち1つが不正に入られたとき、他の窓口も含めてどれだけ早く点検・停止でき、会員にどこまで説明できるでしょうか。
技術的な要約
2026年10月16日、「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの第三者による不正アクセスが確認され、同日に外部からの不正な通信を遮断し、同サイトのシステム全体を停止した。10月17日には「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスが確認され、両サイトも停止された。10月19日、「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明し、ほぼ全ての会員が対象となっている（調査中）。漏えいした情報は氏名、性別、メールアドレス、住所、電話番号、生年月日などで、ログインパスワードの漏えいは確認されていない。E-STORES／Remo Order経由の漏えい可能性（商品注文履歴、クレジットカード情報の一部など）は調査中である。個人情報保護委員会へ報告し警察へ被害申告済みで、不正利用や二次被害は確認されていない。侵入原因は未公表で、原因究明と脆弱性修正の後、安全確認ができ次第サービスを再開する予定である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表は「阪急百貨店・阪神百貨店予約サイト」を経由して顧客管理システムに対する第三者による不正アクセスを確認したとするのみ。侵入原因の詳細は調査中で未公表。
- 脆弱性
- CVE 非公表不明セキュリティ脆弱性の解析・調査を進めているとのみ公表され、製品名・CVEは未公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 予約サイト（10/16）、HANKYU HANSHIN E-STORESおよびRemo Order（10/17）のシステム全体を停止。原因究明と脆弱性修正の上、安全確認後に再開予定。期間：2026-10-19時点で停止中（再開時期は未公表）
- データ
- 確定上限 1,260,000確定 1,260,000件会員ID氏名性別メール住所電話生年月日その他予約サイト経由でH2O IDのうち約126万件の個人情報の一部が漏えい（ほぼ全てのH2O ID会員、調査中）。漏えい情報はH2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでの利用サービス項目。E-STORES／Remo Order経由の漏えい可能性は調査中で、同サービスは商品注文履歴、クレジットカード情報の一部（カード種別、下4桁、名義、有効期限）、ポイントカード情報の一部（種別、下4桁）、アドレス帳の情報を保持。クレジットカード番号全桁とセキュリティコードは保持しておらず、ログインパスワードの漏えいは確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
確認された経緯と対象サービス 事実
2026年10月16日（金）、「阪急百貨店・阪神百貨店予約サイト」を経由して顧客管理システムに対する第三者による不正アクセスが確認された。同日、外部からの不正な通信を遮断するなどの緊急措置を講じ、被害拡大防止のため同サイトのシステム全体を停止した。翌17日（土）には「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスが確認され、同日に両サイトのシステム全体が停止された。19日（月）には、顧客管理システムで管理する「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明し、公表に至った。個人情報保護委員会への報告と所轄警察署への被害申告も行われている。
漏えいした情報と調査中の範囲 事実
予約サイト経由で漏えいした情報は、H2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでのご利用サービス項目である。公式発表では、ほぼ全てのH2O ID会員の個人情報の一部が漏えいしたとされ、この範囲は調査中である。ログインパスワードの漏えいは確認されていない。一方、E-STORESとRemo Orderについては漏えいの可能性を調査中で、これらのサービスは商品注文履歴、クレジットカード情報の一部（カード種別、下4桁、名義、有効期限）、ポイントカード情報の一部（種別、下4桁）、アドレス帳の情報を保持している。カード番号全桁とセキュリティコードは保持していない。現時点で不正利用や二次被害は確認されていない。
原因調査と会員向け対応の状況 事実
詳細な原因究明とセキュリティ脆弱性の解析・調査が進められており、侵入原因の詳細や、使われた製品・脆弱性の情報は公表されていない。対象サービスのホームページおよび機能については、同様の手口による新たな被害・影響の拡大防止措置が完了したとされる。H2O ID会員には電子メールで順次連絡が行われ、当社を装った不審なメール、SMS、電話等への注意が呼びかけられている。案内の正規の送信元は noreply@h2o-retailing.co.jp である。サービスは、原因の究明と脆弱性の修正を実施した上で、安全が確認され次第再開する予定とされているが、再開時期は公表されていない。
入口と顧客基盤の関係（読み取り） 解釈
公表内容からは、予約サイトが顧客管理システムへの入口となり、H2O IDの情報に到達できた構図がうかがえる。翌日にE-STORESとRemo Orderでも不正アクセスが確認されたことから、複数のサービスが同じ顧客管理基盤や共通の仕組みでつながっていた可能性があるが、公表されていないため推測にとどまる。ほぼ全会員が対象となる規模は、会員情報が一つのIDに集約されていることと関係している可能性がある。複数サービスを横断するID基盤は利便性が高い一方、入口の一つが侵害されたときの影響範囲が広がりうる。いずれも原因が未公表の段階での読み取りであり、今後の続報で変わりうる。
初報の公表内容の見方 解釈
不正アクセスの確認から公表までは3日で、漏えい件数が判明した日に公表されている。当局への報告、被害拡大防止措置、会員向けの注意喚起も初報にまとめて示されている。件数や対象範囲に「調査中」と明記し、判明していることと調査中のことを分けて書いている点は、読み手にとって状況をつかみやすい。一方で、侵入経路、侵入開始時期、E-STORES等での漏えいの有無、サービス再開時期は未公表であり、会員が自身のリスクを判断するにはこれらの続報が必要になる。初報として、何が分かっていて何が分かっていないかが整理されたものと受け取れる。
対応
- 封じ込め
- 2026-10-16に外部からの不正な通信を遮断し予約サイトのシステム全体を停止、10-17にE-STORESとRemo Orderも停止。対象サービスのホームページおよび機能について同様の手口による被害拡大防止措置を完了。原因究明と脆弱性修正の上、安全確認後にサービス再開を予定。
- 公表の仕方
- 2026-10-19にお詫びとお知らせを公表。H2O ID会員へ電子メールで順次連絡し、不審なメール・SMS・電話への注意を呼びかけ（正規の送信元は noreply@h2o-retailing.co.jp）。
- 当局対応
- 個人情報保護委員会
- 所轄警察署
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 会員ID基盤は入口が一つ侵害されると、ほぼ全会員に影響が及びうる | 各フロントサービスから顧客管理システムへのアクセスは、専用のAPI経由・最小権限のサービスアカウントに限定する。取得できる項目と1回あたりの件数をAPI側で制限し、ID全件の一括取得ができない設計にする。 |
| 同種の手口は同じ基盤を使う別サービスにも及びうる（本件では翌日に別2サービスでも確認） | 1つのサービスで侵害を確認したら、同じ顧客基盤・共通部品を使う全サービスを洗い出し、同種のリクエストパターンをWAF・アクセスログで横断検索する。インシデント初動手順書に『同一基盤の兄弟サービスの一斉点検』を入れる。 |
| 何が保持され何が保持されていないかを即答できると、利用者への説明が早くなる | 個人情報の保持項目台帳をサービスごとに整備し、カード情報は番号全桁・セキュリティコードを持たない設計（トークン化）を維持する。台帳は年1回以上、実態のDBスキーマと突き合わせる。 |
| 漏えい後はなりすましのメール・SMS・電話が増えやすい | 正規の送信元ドメインにSPF・DKIM・DMARC（p=quarantine以上）を設定し、案内に正規の送信元を明記する。会員向けに『URL付きSMSでパスワードや決済情報は求めない』と定型文で周知できる状態にしておく。 |
| 原因が分からない段階でも、公表は『判明・調査中・未公表』を分けて出せる | 初報テンプレートに『確認した事実／調査中の事項／次回報告予定』の3欄を設ける。件数は上限と確定を区別して書き、ログ保全とフォレンジック調査の開始を初動の必須項目にする。 |
自組織などでの確認項目
- 自組織の会員・顧客管理システムには、どのサービス（予約・EC・アプリなど）が接続されていますか。そのうち1つが侵害されたとき、取得できる情報の範囲と件数は技術的に制限されていますか。
- 自組織の各サービスが保持している個人情報の項目（カード情報の一部、注文履歴、アドレス帳など）を、すぐに一覧で答えられますか。
- ある1つのサービスで不正アクセスを確認したとき、同じ基盤を使う他サービスを何時間以内に点検・必要なら停止できますか。判断者と手順は決まっていますか。
- 漏えい後に会員へ送る案内メールの正規の送信元を、利用者が見分けられる状態になっていますか。SPF・DKIM・DMARCは設定済みですか。
未解明点
- 侵入の原因（どの機能・どの脆弱性や設定が使われたか）はまだ公表されていません。
- 侵入が始まった時期や、情報が持ち出された期間は公表されていません。
- HANKYU HANSHIN E-STORESとRemo Order経由で、注文履歴やカード情報の一部が漏えいしたかどうかは調査中です。
- 3つのサービスの停止からの再開時期と、再発防止策の内容は公表されていません。
- 約126万件の確定件数と、『ほぼ全ての会員』という範囲の最終的な確認結果は、続報が待たれます。
出典
- 1エイチ・ツー・オー リテイリング株式会社 / 株式会社阪急阪神百貨店2026-10-19公式本文確認済
- 2産経新聞2026-10-19報道本文確認済