要点
発表された事実
- エイチ・ツー・オー リテイリングと子会社の阪急阪神百貨店は2026年10月19日、阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」で第三者による不正アクセスが発生し、顧客の個人情報の一部が漏えいしたと公表した（H2Oリテイリング、発表PDF）。
- 10月16日（金）に予約サイトを経由した顧客管理システムへの不正アクセスを確認し、同日に予約サイトのシステム全体を停止した。10月17日（土）にはE-STORESとRemo Orderでも不正アクセスを確認し、両サイトを停止した（同）。
- 【2026-10-20追記】阪急阪神百貨店は10月19日、再発防止策と安全確認が完了したとして、E-STORESを同日14時に再開したと案内した（阪急阪神百貨店「HANKYU HANSHIN E-STORES」再開のお知らせ）。Remo Orderと予約サイトの再開は示されていない。
- 10月19日（月）、顧客管理システムで管理する「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明した。「ほぼ全ての『H2O ID』会員」が対象で、項目はH2O ID、氏名（漢字・カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDで利用しているサービスの項目（同）。
- E-STORESとRemo Orderからの漏えいの有無は調査中。両サービスは注文履歴、カードの種別・下4桁・名義・有効期限、ポイントカードの種別・下4桁、アドレス帳の情報を持つ。カード番号の全桁とセキュリティコードは保持しておらず、ログインパスワードの漏えいも確認されていない（同）。
- 【2026-10-31追記】エイチ・ツー・オー リテイリングと阪急阪神百貨店は10月30日の第2報で、外部専門機関の調査により、予約サイトの入力フォームの記載内容（参加者などの申し込み情報を含む）6,243件（予約総数188,590件の約3％）が新たに漏えいしていたと公表した。一方、E-STORESとRemo Orderについては、第1報で挙げた「お客さま情報」の外部への漏えいは確認されなかったとした。詳細調査とシステムの総点検を続け、阪急阪神百貨店の一部サービスは停止したままとしている（H2Oリテイリング 第2報（PDF））。
わかっていないこと
- 予約サイトのどこから顧客管理システムに入られたのか（突かれた脆弱性や設定の不備）
- 不正アクセスが始まった時期と、データが持ち出された期間
- E-STORES・Remo Orderへの不正アクセスが予約サイトと同じ手口・同じ攻撃者によるものか
- E-STORES・Remo Orderの注文履歴・カード情報の一部・アドレス帳が実際に漏えいしたかどうか（【2026-10-31追記】第2報で、両サービスのお客さま情報の外部への漏えいは確認されなかったとされた）
- 予約サイトとRemo Orderの再開時期（【2026-10-20追記】E-STORESは10月19日14時に再開済み）
関係しそうな既知の手口
- （考察）入口は予約サイトだったが、漏えいしたのはその裏にある共通IDの顧客管理システムだった。会員の「ほぼ全て」に及んだ点は、ほぼ全会員分の連絡先が流出した焼肉きんぐや、アプリの表示の仕組みから215万件超が漏えいしたローソンIDの事例と重なる。
概要
- 阪急・阪神百貨店の予約サイトを経由して顧客管理システムに不正アクセスがあり、共通ID「H2O ID」のほぼ全会員約126万件の連絡先や生年月日などが漏えいした。
- 翌日には通販サイト2つでも不正アクセスが見つかり、3サイトとも止まっている。通販側の漏えいの有無は調査中。
- カード番号の全桁は持っておらず、ログインパスワードの漏えいは確認されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-16（金） | 予約サイトを経由した顧客管理システムへの不正アクセスを確認。外部からの不正な通信を遮断し、予約サイトのシステム全体を停止（H2O・阪急阪神百貨店） |
| 2026-10-17（土） | HANKYU HANSHIN E-STORESとRemo Orderでも不正アクセスを確認し、両サイトのシステム全体を停止（同） |
| 2026-10-19（月） | 再発防止策と安全確認が完了したとして、E-STORESを14時に再開（阪急阪神百貨店「HANKYU HANSHIN E-STORES」再開のお知らせ） |
| 2026-10-19（月） | 調査で「H2O ID」約126万件の個人情報の一部の漏えいが判明。同日公表。個人情報保護委員会への報告と所轄警察署への被害申告は確認後ただちに実施したとしている（同） |
| 2026-10-30（金） | 第2報。予約サイトの入力フォーム記載内容6,243件の漏えいが新たに判明。E-STORES・Remo Orderからの漏えいは確認されなかったと公表（第2報） |
発表内容の整理
事実（H2Oリテイリング・阪急阪神百貨店の発表）
| 項目 | 内容 |
|---|---|
| 対象サイト | 阪急百貨店・阪神百貨店予約サイト、HANKYU HANSHIN E-STORES、Remo Order |
| 予約サイト経由で漏えい | H2O ID会員約126万件（ほぼ全会員）。H2O ID、氏名（漢字・カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでの利用サービス項目 |
| 通販2サイト（調査中） | 保持している情報：商品注文履歴、カード情報の一部（種別・下4桁・名義・有効期限）、ポイントカード情報の一部（種別・下4桁）、アドレス帳の情報 |
| 含まれないとしているもの | カード番号全桁・セキュリティコード（非保持）。ログインパスワードの漏えいも確認されていない |
| 二次被害 | 現時点で不正利用や二次被害は確認されていない |
| 対応 | 同様の手口による被害の拡大防止措置を完了。H2O ID会員にメールで順次連絡。原因究明と脆弱性の修正後、安全を確認してサービスを再開予定 |
| 案内メールの送信元 | noreply@h2o-retailing.co.jp（これ以外の送信元からの連絡に注意） |
| 問い合わせ | 特設コールセンター 0120-110-256 または 0120-369-089（午前10時〜午後8時）、問い合わせフォーム |
考察
注目したいのは、漏えいの「入口」と「中身」がずれている点だ。入口は予約サイトだが、漏えいしたのは予約の利用者に限らない、H2O IDのほぼ全会員だった。予約サイトが共通IDの顧客管理システムを広い権限で読み出せる構成だったか、予約サイトの不備から顧客管理システム自体の操作に手が届いたと考えられる（考察。原因は「解析・調査中」とされている）。
翌日に別の通販サイト2つでも不正アクセスが見つかったことから、攻撃者が同じグループの複数のサイトを並行して試していた可能性もある（考察）。漏えいの「可能性」として通販側の保持情報まで列挙しているのは、調査が終わる前に最大の範囲を示した形だ。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- 焼肉きんぐ公式アプリでは、登録1080万件のうち1078万件と、ほぼ全会員分の連絡先が流出した（焼肉きんぐの記事）。
- ローソンIDでは、アプリで本人に情報を表示する仕組みが悪用され、215万5345件が漏えいした（ローソンIDの記事）。
- JPCERT/CCは10月の注意喚起で、既知の脆弱性の探索やAPI経由での不正な操作などの攻撃類型を示している（各機関の注意喚起の記事）。
考察
- 共通IDは「1か所の穴で全部」になりやすい：グループ共通のIDは利用者には便利だが、どのサイトからでも同じ顧客管理システムに問い合わせる作りになる。周辺のサイトのどれか1つが破られると、そのサイトを使っていない会員の情報まで届く。各サイトが顧客管理システムから引き出せる項目や件数を、そのサイトが本当に必要な範囲に絞っておくことが大事になる。
- 漏えい項目がフィッシングに使いやすい：氏名・住所・電話・メールに加えて「H2O IDでの利用サービス項目」が含まれる。どの百貨店サービスを使っている人かがわかるので、そのサービスを名乗るメールやSMSが本物らしく作れてしまう（考察）。
利用者・運用者がいまできること
事実（発表に基づく）
- H2O IDに登録したメールアドレスや電話番号に、同社を装った不審なメール・SMS・電話が来る可能性がある。身に覚えのない連絡や不審なURLに注意する。同社からの案内の送信元は noreply@h2o-retailing.co.jp（H2O・阪急阪神百貨店）。
- 問い合わせは特設コールセンター（0120-110-256 または 0120-369-089、午前10時〜午後8時）か問い合わせフォーム（同）。
考察（利用者向け）
- 「予約の確認」「ポイント失効」「返金」などをうたうメールのリンクは開かず、公式サイトを自分で開いて確かめる。
- ログインパスワードの漏えいは確認されていないが、同じパスワードを他のサービスでも使っている場合は、これを機に使い回しをやめておくと安心だ。
考察（運用者向け）
- 共通IDの顧客管理システムを複数のサイトから呼び出している場合、サイトごとに使える問い合わせの種類・件数を制限し、1つのサイトから全件を読めない作りにする。
- 顧客管理システムへの問い合わせ件数を監視し、普段と桁違いの読み出しが起きたら止まるようにしておく。
参考リンク
- 第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ（エイチ・ツー・オー リテイリング、2026-10-19）
- 同 発表PDF（エイチ・ツー・オー リテイリング・阪急阪神百貨店、2026-10-19）
- お客様向けお詫びとお知らせ（阪急阪神百貨店、2026-10-19）
- 阪急阪神百貨店などの共通ID、ほぼ全会員分漏えい 約126万件 予約サイトに不正アクセス（ITmedia NEWS、2026-10-19）
- 阪急阪神百貨店公式通販サイト「HANKYU HANSHIN E-STORES」再開のお知らせ（阪急阪神百貨店、2026-10-19）
- エイチ・ツー・オー リテイリング「第三者による不正アクセス発生について（第2報）」（2026年10月30日、PDF）