阪急阪神百貨店の予約サイト等に不正アクセス｜H2O ID会員情報約126万件が漏えい
阪急阪神百貨店・H2Oリテイリングが公表した内容
2026年10月19日、エイチ・ツー・オー リテイリング株式会社および子会社の株式会社阪急阪神百貨店は、阪急阪神百貨店が運営する複数のWebサイトにおいて第三者による不正アクセスが発生し、グループ共通会員ID「H2O ID」の個人情報約126万件の一部が外部へ漏えいしたことを公表しました。
不正アクセスが確認されたのは、「阪急百貨店・阪神百貨店予約サイト」、公式通販サイト「HANKYU HANSHIN E-STORES」、およびリモートショッピングサービス「Remo Order（リモオーダー）」です。被害拡大を防ぐため、該当する各サイトのシステムは一時停止されています。
公表されている事案の概要は次のとおりです。
| 項目 | 公表内容 |
|---|---|
| 対象組織 | 株式会社阪急阪神百貨店（エイチ・ツー・オー リテイリンググループ） |
| 不正アクセスを確認したサイト | 阪急百貨店・阪神百貨店予約サイト、HANKYU HANSHIN E-STORES、Remo Order |
| 公表日 | 2026年10月19日 |
| 漏えいが判明した件数 | 「H2O ID」会員情報 約126万件（ほぼ全会員分） |
| 決済・注文情報の状況 | E-STORESおよびRemo Orderの注文履歴等の漏えい有無は引き続き調査中 |
| 公表時点の被害状況 | 本件に起因する不正利用や二次被害は確認されていない |
約126万件という件数は、顧客管理システムで管理されていた「H2O ID」のほぼ全会員分に相当します。
対象となるサービスと漏えいした可能性がある情報
今回の発表では、「阪急百貨店・阪神百貨店予約サイト」を経由して顧客管理システムから漏えいが確認された情報と、「HANKYU HANSHIN E-STORES」「Remo Order」に関連して調査が進められている情報、および漏えいの恐れがない情報が分けて説明されています。
| 区分 | 情報の内容 |
|---|---|
| 予約サイト経由で漏えいが判明した情報（約126万件） | H2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、電話番号（携帯電話を含む）、年齢、生年月日、利用サービス項目など |
| E-STORES・Remo Order関連で調査中の情報 | 商品注文履歴、クレジットカード情報の一部（カード種別、カード番号下4桁、名義、有効期限）、ポイントカード情報の一部（種別、番号下4桁）、アドレス帳情報など |
| 保持しておらず漏えいの恐れがない情報 | クレジットカード番号の全桁、セキュリティコード、ログインパスワード |
同社は、クレジットカード番号の全桁およびセキュリティコードはシステム上で保持していないため、カード情報がそのまま不正決済に悪用される恐れはないと説明しています。また、ログインパスワードの漏えいも確認されていません。
一方で、氏名、住所、電話番号、メールアドレス、生年月日といった基本属性が漏えいしているため、これらの情報を悪用したなりすまし連絡やフィッシングメールには十分な警戒が必要です。
不正アクセスの検知から公表までの経緯
不正アクセスは2026年10月16日に最初に確認され、翌17日に別サイトでも確認された後、10月19日に公表されました。時系列の経緯は以下のとおりです。
| 日付 | 公表内容 |
|---|---|
| 2026年10月16日 | 「阪急百貨店・阪神百貨店予約サイト」を経由して顧客管理システムへの不正アクセスがあったことを確認。直ちに同予約サイトのシステムを停止 |
| 2026年10月17日 | 通販サイト「HANKYU HANSHIN E-STORES」および「Remo Order」でも不正アクセスを確認。両サイトのシステムを停止 |
| 2026年10月19日 | 顧客管理システムで管理していた「H2O ID」会員約126万件の個人情報の一部漏えいが判明。個人情報保護委員会への報告および所轄警察署への被害申告を実施し、事案を公表 |
予約サイトでの検知から通販サイト・Remo Orderの停止、そして「H2O ID」顧客管理システムでの漏えい判明へと調査が進められており、複数サイトと共通会員基盤が連携する構成において影響範囲の特定が行われています。
不正アクセスの詳しい原因は公表されているか
2026年10月19日時点の公式発表では、予約サイト等を経由して顧客管理システムへ不正アクセスが行われたことは明らかにされていますが、次の技術的詳細は公表されていません。
- 最初の侵入経路や悪用された具体的な機能
- ソフトウェアやWebアプリケーションの脆弱性の有無
- 認証情報の窃取や権限昇格の有無
- 予約サイトからE-STORES・Remo Orderへ調査範囲が広がった技術的な関連性
- 攻撃者や攻撃グループに関する情報
そのため、現時点で特定の製品や設定不備を原因として断定することはできません。同社は外部の専門機関とともに引き続き調査を進めており、新たな事実が判明した場合は速やかに案内するとしています。
H2O ID会員・利用者が確認したい対応
エイチ・ツー・オー リテイリングおよび阪急阪神百貨店は、対象となる会員へ順次電子メールで個別に連絡を行っています。利用者は次の点を確認し、二次被害の防止に努めてください。
公式からの案内メールと送信元を確認する
公式発表によると、対象者への案内メールは noreply@h2o-retailing.co.jp などから送信されます。ただし、メールの表示上の送信元アドレスは偽装されるケースもあるため、メール内のリンクを安易に開かず、必ず公式サイトのお知らせページから最新情報を確認してください。
阪急阪神百貨店やH2Oグループを装う連絡に注意する
氏名、住所、電話番号、メールアドレスなどが漏えい対象に含まれているため、実在の登録情報を使った巧妙なフィッシングメールやSMS、不審な電話・郵便物が届く可能性があります。
- メールやSMSに記載されたURLをすぐに開かない
- 電話やメールでパスワード、クレジットカード番号全桁、セキュリティコード、認証コードを伝えない
- 注文した覚えのない商品確認やアカウント更新を求める連絡に応じない
同社から電話やメールでパスワードやクレジットカード番号を尋ねることはありません。
不明な点は専用窓口へ問い合わせる
2026年10月19日の公表時点では、漏えいした情報の不正利用や二次被害は確認されていません。本件に関して不明な点や不審な連絡があった場合は、公式発表で案内されている専用窓口へ相談してください。
- 専用フリーダイヤル：
0120-110-256/0120-369-089（受付時間：各日10:00〜20:00） - Web問い合わせフォーム：
https://h2o-id.h2o-retailing.co.jp/web/contact
共通ID基盤や予約・ECサイトを運営する企業が確認したい5つの項目
以下は、今回の不正アクセスの原因を推測するものではありません。グループ共通ID基盤や複数の予約サイト・ECサイトを連携して運営する企業が、一般的なセキュリティ対策として見直したい項目です。
1. 個別サイトから共通顧客DBへのアクセス権限を最小化しているか
予約サイトやキャンペーンサイト、ECサイトなど複数のWebシステムが共通の顧客管理システム（ID基盤）を参照する場合、各サイトに付与するAPI権限やデータベース参照権限を必要最小限に制限します。1つのサイトが侵害された際に、全会員のレコードを一括取得（バルク取得）できないよう、取得件数の上限設定（レートリミット）や認可制御を設けることが重要です。
2. WebアプリケーションとAPIの認可制御を検証しているか
ログイン機能や予約・注文機能において、他者の会員IDや注文IDを指定して情報を参照できないか（オブジェクトレベルの認可不備：BOLA/IDOR）、管理機能へ一般経路から到達できないかを検証します。自動スキャンだけでなく、画面遷移やAPIパラメータの書き換えを含めた手動での確認が有効です。
3. 決済関連情報と注文履歴の保持範囲を整理しているか
カード番号の全桁やセキュリティコードを保持しない（非保持化・トークン化する）ことは被害抑止に大きく寄与します。あわせて、カード番号下4桁、有効期限、配送先アドレス帳、注文履歴などの参照権限も厳格に分離し、不要になった履歴データの保管期間を定めることが求められます。
4. サイト間の横展開と異常なデータ抽出を検知できるか
特定のWebサイトから顧客管理システムへ通常とは異なる大量のクエリが発行された場合や、複数の関連サイトへ同一の攻撃元・手法でアクセスが試行された場合に、即座にアラートを発出し遮断できる監視体制を確認します。
5. 複数サイト停止時の影響範囲と初動手順を整備しているか
共通ID基盤に関わるインシデントでは、予約サイトやECサイトなど複数のサービスを同時に停止・調査する判断が必要になります。どのシステムがどの顧客データを参照しているかのデータフロー図を常時最新化し、緊急停止の手順や利用者への通知体制を事前に定めておくことが大切です。
予約サイト・EC・共通会員基盤の安全性を確認したい企業へ
今回の公式発表では、具体的な侵入経路や悪用された仕組みは公表されていません。そのため、「特定のセキュリティ診断を実施していれば今回の事案を防げた」と断定することはできません。
一方、予約サイトやECサイト、それらと連携する共通ID基盤を運用する企業において、外部から顧客データへ到達できる経路やAPIの認可不備を事前に点検しておくことは、大規模な情報漏えいを防ぐための実践的な取り組みです。
- Webアプリセキュリティ診断 — 予約サイト、ECサイト、会員マイページ、APIの脆弱性と認可制御を診断
- ペネトレーションテスト — 個別サイトを起点に共通顧客データベースへ到達できるかを攻撃者視点で検証
- 脆弱性診断 — インターネット公開サーバーやWebシステムの既知の脆弱性・設定不備を網羅的に確認
- セキュリティマネジメント支援 — グループ共通基盤のガバナンス整備やインシデント対応手順の策定を支援
複数のWebサイトや会員基盤が連携しており、どこから診断すべきか迷われている場合でも、システム構成を伺いながら優先すべき診断範囲をご提案します。
よくある疑問
Q. 阪急阪神百貨店の不正アクセスで何件の個人情報が漏えいしましたか？
A. グループ共通会員ID「H2O ID」の顧客管理システムで管理されていた会員情報のうち、ほぼ全会員分に相当する約126万件の個人情報の一部が漏えいしたと公表されています。
Q. どのサービスが不正アクセスを受けましたか？
A. 「阪急百貨店・阪神百貨店予約サイト」、公式通販サイト「HANKYU HANSHIN E-STORES」、およびリモートショッピングサービス「Remo Order（リモオーダー）」の3つのサービスで不正アクセスが確認され、各システムが一時停止されました。
Q. クレジットカード番号やパスワードも漏えいしましたか？
A. クレジットカード番号の全桁およびセキュリティコードはシステム上で保持していないため、カードがそのまま不正利用される恐れはないと説明されています。また、ログインパスワードの漏えいも確認されていません。なお、E-STORESとRemo Orderにおけるカード番号下4桁や名義、有効期限、注文履歴などの漏えい有無については引き続き調査中です。
Q. どのような個人情報が漏えいの対象となりましたか？
A. 予約サイト経由で漏えいが判明した情報には、H2O ID、氏名（漢字・カナ）、性別、メールアドレス、郵便番号、住所、電話番号、年齢、生年月日、利用サービス項目などが含まれます。
Q. 阪急阪神百貨店やH2Oリテイリングからの案内メールはどこから届きますか？
A. 対象となる会員へは、noreply@h2o-retailing.co.jp などから順次電子メールで案内が送信されます。ただし、送信元を偽装したフィッシングメールに注意し、不審なURLやパスワード・カード番号の入力を求める連絡には応じないでください。
Q. 本件に関する問い合わせ窓口はどこですか？
A. 専用フリーダイヤル（0120-110-256 または 0120-369-089、受付時間10:00〜20:00）およびH2O IDのWeb問い合わせフォームが設置されています。
まとめ
阪急阪神百貨店が運営する予約サイトやECサイト「HANKYU HANSHIN E-STORES」「Remo Order」が第三者による不正アクセスを受け、グループ共通会員ID「H2O ID」の個人情報約126万件の一部が漏えいしました。
クレジットカード番号の全桁やセキュリティコード、ログインパスワードは漏えい対象に含まれておらず、公表時点で二次被害は確認されていません。H2O IDや対象サービスを利用している方は、公式からの個別案内を確認するとともに、登録情報を悪用したなりすましメールやSMS、不審な電話に十分注意してください。
参考情報
関連ページ
- Webアプリセキュリティ診断 — 予約サイト・ECサイト・APIの脆弱性と権限設定を診断
- ペネトレーションテスト — 攻撃者の視点で共通顧客基盤への到達可能性を検証
- 脆弱性診断 — 公開Webシステムやサーバーの脆弱性・設定不備を幅広く確認
- セキュリティマネジメント支援 — 複数サイト・グループ共通基盤の管理体制と事故対応を支援
御社のセキュリティは大丈夫ですか？
このインシデントと同様の攻撃に、御社のシステムは耐えられるでしょうか。
ペネトレーションテストで事前にリスクを把握することが最善の防御策です。
▼ セキュリティ対策の基礎知識