H2Oリテイリングに不正アクセス｜H2O ID約126万件が漏えい
公開
エイチ・ツー・オー リテイリングと子会社の阪急阪神百貨店が2026年10月19日、「阪急百貨店・阪神百貨店予約サイト」などへの第三者の不正アクセスを公表しました。 顧客管理システムで管理する「H2O ID」のうち、約126万件の個人情報の一部が漏えいしたとしています（エイチ・ツー・オー リテイリングの発表）。 ほぼすべての H2O ID 会員が対象です。
公表された内容
- 経緯：10月16日に予約サイトを経由した顧客管理システムへの不正アクセスを確認し、不正な通信を遮断して同サイトのシステム全体を停止。10月17日には通販の「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトを停止。10月19日に漏えいが判明したとしています
- 件数：H2O ID 約126万件（2026年10月19日の発表）
- 情報の種類（予約サイト経由）：H2O ID、氏名（漢字・カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O ID で利用しているサービスの項目
- 通販サイト2つ（調査中）：漏えいの有無は調査中。両サービスは注文履歴、クレジットカードの一部（種別・下4桁・名義・有効期限）、ポイントカードの種別と下4桁、アドレス帳の情報を持っているとしています。カード番号の全桁とセキュリティコードは持っていない（非保持化）としています
- パスワード：ログインのパスワードの漏えいは確認されていないとしています
- 原因：詳しい原因と脆弱性を解析・調査中で、公表されていません
- 二次被害：10月19日の時点で、不正利用や二次被害は確認されていないとしています
会社の対応
- 同じ手口による新たな被害を防ぐ措置を完了
- 個人情報保護委員会への報告と、所轄の警察署への被害の申告
- H2O ID 会員へメールで順次連絡。専用の問い合わせ窓口を設置
- 原因を突き止めて脆弱性を直し、安全を確かめてからサービスを再開する予定としています
- 会社を装った不審なメール・SMS・電話への注意を呼びかけ、正規の送信元のアドレスを示しています
中小企業が今日からできること
- 共通 ID の入口を洗い出す：予約・通販・会員証など、1つの会員 ID でつながるサイトやアプリを一覧にし、どの入口から顧客の台帳に届くかを確かめる
- 異常を見たら入口ごとに止められるようにする：サイトを個別に止める手順と、止める判断をする人を決めておく
- 持たない情報を決める：カード番号の全桁やセキュリティコードは決済の会社に任せ、自社では持たない（非保持化）。持つ項目は必要なものだけにする
- 客に送る連絡の送信元を決めて知らせる：漏えいのあとはなりすましの連絡が増える。正規の送信元アドレスを決め、会員へのお知らせに書けるようにしておく