阪急阪神百貨店の予約サイトに不正アクセス、H2O ID会員約126万件が漏えい

2026/10/21 10:00 情報収集中深刻小売・EC #不正アクセス

項目	内容
発生・公表日	確認: 2026年10月16日 / 漏えい判明: 2026年10月19日 / 公表: 2026年10月19日
対象組織・業界	エイチ・ツー・オーリテイリング株式会社（大阪市北区）、子会社の株式会社阪急阪神百貨店 / 百貨店
対象サイト	阪急百貨店・阪神百貨店予約サイト / HANKYU HANSHIN E-STORES / Remo Order
影響件数	H2O ID会員約126万件（ほぼ全会員）
攻撃手法	予約サイトを経由した顧客管理システムへの不正アクセス（詳細は調査中）
情報源	エイチ・ツー・オーリテイリング公式（2026年10月19日）

概要

エイチ・ツー・オーリテイリングと阪急阪神百貨店は2026年10月19日、不正アクセスによる個人情報の漏えいを公表しました。対象は、阪急阪神百貨店が運営する3つのサイトです。

不正アクセスは、予約サイトを経由して顧客管理システムに及びました。このシステムは、共通会員ID「H2O ID」の情報を管理しています。

漏えいしたのは、H2O ID会員約126万件の個人情報の一部です。同社は、ほぼ全ての会員が対象だと説明しています。

漏えいした項目は次のとおりです。

H2O ID・氏名（漢字とカナ）・性別・年齢・生年月日
メールアドレス・郵便番号・住所・携帯電話番号・電話番号
H2O IDで利用しているサービスの項目

ログインパスワードの漏えいは確認されていません。不正利用や二次被害も、現時点では確認されていないとしています。

通販サイト「HANKYU HANSHIN E-STORES」と「Remo Order」の2サイトは、漏えいの有無を調査中です。両サイトは注文履歴やアドレス帳を保持しています。クレジットカード情報は、カード番号の下4桁・名義・有効期限などの一部だけを保持しています。カード番号の全桁とセキュリティコードは保持していないと説明しています。

経緯

2026年10月16日: 予約サイト経由の不正アクセスを確認。不正な通信を遮断し、同サイトのシステム全体を停止
2026年10月17日: E-STORESとRemo Orderでも不正アクセスを確認し、両サイトを停止
2026年10月19日: 約126万件の漏えいが判明し、公表。個人情報保護委員会への報告と警察への被害申告は確認後に実施
公表後: H2O ID会員へメールで順次連絡

対策

漏えいした氏名・メールアドレス・電話番号は、なりすましの連絡にそのまま使えます。同社も、同社を装うメール・SMS・電話への注意を呼びかけています。宛名や住所が正しく書かれていても、漏えいした情報で書けるため本物の証拠になりません。本件の対象者に届く連絡では、次の点があれば疑う必要があります。

送信元が、同社の公表した案内用のアドレスと異なる
お詫びや補償を名目に、リンク先でログインや入力を求めている
同社が保持していないカード番号の全桁やセキュリティコードを尋ねている
返信や折り返しの電話を急がせている

送信元の表示は偽装できるため、アドレスが一致していてもメール内のリンクは開きません。確認は、ブックマークから開いた公式サイトか、公表された問い合わせ窓口で行います。メールやSMSに書かれた連絡先を使わなければ、偽サイトへの入力を避けられます。

ヤグラの視点 — 本物らしい偽の連絡を見分ける

本件で漏えいした項目には、H2O IDで利用しているサービスの項目も含まれます。宛名や住所に加え、実際に使ったサービス名まで入った偽の連絡が作れると考えられます。同社は会員へ案内メールを順次送っており、正規の連絡と偽物が同じ時期に届きます。文面の不自然さや宛名の有無では、見分けにくくなります。

そこで、文面が本物らしく見えても、対策で挙げた確認を省かない習慣が必要です。電話番号も漏えいしたため、メールだけでなくSMSや電話でも同じ確認が要ります。企業が従業員に行う訓練でも、宛名や利用履歴まで入った文面と、SMS・電話の手口を題材に含めておくと実態に近づきます。最新の手口を反映し、複数の経路を混ぜた訓練を回す道具の一つが、ヤグラアウェアネスです。（→ ヤグラアウェアネス）

今後の対応

侵入経路と原因（同社は脆弱性の解析を進めています）
E-STORESとRemo Orderでの漏えいの有無
3サイトの再開時期
同社を装うメール・SMS・電話の発生有無

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-10-21	第一報を公開