阪急百貨店と阪神百貨店を運営する阪急阪神百貨店と、親会社のエイチ・ツー・オー リテイリング(H2O)は2026年10月19日、予約サイトなどへの不正アクセスで、グループ共通の会員ID「H2O ID」の個人情報が約126万件漏えいしたと発表しました。発表は、ほぼ全てのH2O ID会員が対象としています。両社の発表とH2O IDの公式のページをもとに、漏れた情報と、会員が今日からやることを整理します。
H2O IDとは 百貨店のアプリや通販で使う共通の会員ID
H2O IDは、H2Oが提供する会員サービスです。1つのアカウントで、グループのいくつかのサービスを使えます。H2O IDのよくある質問では、使えるサービスとして次の5つを挙げています。
- HANKYU HANSHIN E-STORES(Remo Orderを含む)
- 阪急・阪神ギフトモール
- 阪急百貨店・阪神百貨店予約サイト
- 阪急阪神百貨店アプリ
- まちうまアプリ
HANKYU HANSHIN E-STORESは、百貨店のオンラインストアです。Remo Orderは、売場に電話などで連絡し、スマートフォンで注文する阪急百貨店のリモートショッピングサービスで、使うにはE-STORESの会員登録が要ります。H2O IDのログインに使うIDは、登録したメールアドレスです。
H2Oは2026年9月9日、H2O IDの会員数が8月末に100万人を超えたと発表していました。9月30日には、ポイントカードをアプリに入れられる「阪急阪神百貨店アプリ」が始まり、アプリもH2O IDとつながっています。
10月16日に不正アクセスを確認、19日に約126万件の漏えいが判明
発表による経緯は次のとおりです。
| 日付 |
起きたこと |
| 10月16日(金) |
予約サイトを経由した、顧客管理システムへの不正アクセスを確認。不正な通信を遮断し、予約サイトのシステム全体を停止 |
| 10月17日(土) |
HANKYU HANSHIN E-STORESとRemo Orderでも不正アクセスを確認し、両サイトのシステム全体を停止 |
| 10月19日(月) |
顧客管理システムで管理するH2O IDのうち、約126万件の個人情報の一部が漏えいしたと判明し、公表 |
両社は、個人情報保護委員会に報告し、所轄の警察署に被害を申告しました。発表の時点で、今回のことによる不正利用や二次被害は確認されていないとしています。
H2Oと阪急阪神百貨店の10月19日の発表。経緯と漏えいした情報出典: エイチ・ツー・オー リテイリング株式会社・株式会社阪急阪神百貨店(ニュースリリース)(引用)
漏れた情報と、漏れたか調べている情報
| 区分 |
内容 |
| 漏えいした(予約サイト経由) |
H2O ID、氏名(漢字・カナ)、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDで使っているサービスの項目 |
| 対象の人数 |
H2O ID会員の約126万件(ほぼ全ての会員) |
| 漏えいの可能性を調査中(E-STORES・Remo Order経由) |
商品の注文履歴、クレジットカード情報の一部(種類、番号の下4桁、名義、有効期限)、ポイントカード情報の一部(種類、番号の下4桁)、アドレス帳の情報 |
| 漏えいは確認されていない |
ログインパスワード |
クレジットカードについて、会社はカード番号の全桁とセキュリティコードをもともと持っていないため、不正に使われるおそれはないとしています。ポイントカードも番号の下4桁だけなので、ポイントを不正に使われるおそれはないと説明しています。
発表の2ページ目。カード情報の扱い、会社の対応、問い合わせ先出典: エイチ・ツー・オー リテイリング株式会社・株式会社阪急阪神百貨店(ニュースリリース)(引用)
予約サイトと通販は止まったまま 再開はホームページで案内
両社は、対象のサービスについて、同じ手口による新たな被害を防ぐ措置を終えたとしています。そのうえで、原因を調べて弱いところを直し、安全を確かめてからサービスを再開する予定です。再開の際はホームページで知らせるとしています。
10月19日午後の時点で、予約サイトを開くと「システム障害のため休止」と表示されます。再開の日は示されていません。
会員には、メールで順に連絡しています。会社が送る案内の送信元は noreply@h2o-retailing.co.jp で、ほかの送信元からの連絡には注意するよう呼びかけています。
問い合わせは、阪急阪神百貨店の特設コールセンターが受け付けています。フリーダイヤルは0120-110-256か0120-369-089で、受付は毎日午前10時から午後8時までです。H2O IDのお問い合わせフォームでも受け付けています。
会員が今日からやること
- 店やH2Oを名乗るメール・SMS・電話を疑う。発表は、登録したメールアドレスや電話番号あてに、会社を装った不審な連絡が来るおそれがあるとしています。名前や住所、生年月日まで書かれた連絡でも、本物とは限りません。
- メールやSMSのリンクから、IDやパスワードを入れません。警察庁は、リンクは偽装できるため、公式サイトをブックマークに登録するか、公式アプリから開くよう呼びかけています。
- 同じパスワードをほかのサイトでも使っている人は、そちらを変えます。今回、ログインパスワードの漏えいは確認されていません。ただ、ログインIDにあたるメールアドレスは漏れています。警察庁は、サイトごとに違うパスワードにするよう呼びかけています。
- カードの明細に身に覚えのない請求がないか、念のため見ておきます。あれば、カード会社に相談します。
- 迷ったら、自分で調べた番号で特設コールセンターにかけます。不審な連絡で困ったときは、消費者ホットライン(188)や最寄りの警察署にも相談できます。
漏れたときの一般的な動き方は相次ぐ大規模な情報漏えい この1か月で何が起きた? 件数の比較と、漏れたときの動き方を図解、パスワードの使い回しの危なさはコミックシーモアが不正アクセスで停止 使い回しパスワードに注意にまとめています。
大阪・関西では 阪急・阪神の11店と北摂の「まちうま」の利用者に関わる
H2Oと阪急阪神百貨店は、どちらも大阪市北区に本社があります。阪急阪神百貨店は15の店を持ち、関西には次の11店があります。
- 阪急: 阪急本店(阪急メンズ大阪を含む)、千里阪急、高槻阪急スクエア、川西阪急スクエア、宝塚阪急、西宮阪急、神戸阪急
- 阪神: 阪神梅田本店、阪神・にしのみや、阪神・御影、あまがさき阪神
阪急阪神百貨店アプリは全店が対象で、使うにはH2O IDの登録が要ります。店のレジでアプリの会員証を出している人も、H2O IDの会員です。
H2O IDは百貨店だけのものではありません。飲食店の口コミのアプリ「まちうま」は、2023年5月に、H2O IDを組み込んだ最初のサービスとして高槻市で始まりました。2026年4月に茨木市と島本町、7月に摂津市、10月5日に吹田市へ広がり、7月末の登録会員は約13万人です。百貨店で買い物をしない人でも、まちうまのためにH2O IDを作っていることがあります。
H2Oのグループは、京阪神を中心に約230店の食品スーパーや、イズミヤの総合スーパーも営んでいます。ただ、H2O IDのよくある質問にある使えるサービスの一覧に、スーパーのサービスはありません。H2Oは9月9日の発表で、食品スーパーのアプリを来春に公開する予定としていました。スーパーのポイントカードなどの会員情報について、今回の発表は触れていません。
たとえば、親が百貨店のアプリや予約サイトを使っているなら、「百貨店を名乗るメールやSMSのリンクは押さず、気になったら特設コールセンターに自分でかける」と声をかけておくだけでも備えになります。
