H2Oリテイリングの不正アクセス 第2報｜予約サイトの申込情報6,243件も漏えい
公開
エイチ・ツー・オー リテイリングと子会社の阪急阪神百貨店が2026年10月30日、10月19日に公表した不正アクセスの第2報を出しました。 外部の専門機関の調査で、「阪急百貨店・阪神百貨店予約サイト」の入力フォームの記載内容 6,243件が漏えいしていたことが新たに分かったとしています（エイチ・ツー・オー リテイリングの発表）。 百貨店のイベントなどを予約サイトで申し込んだ人に関係します。
公表された内容
- 予約サイト（新たに判明）：入力フォームの記載内容（参加者などの申し込み情報を含む）6,243件が漏えい。予約の総数 188,590件のうち約3％にあたるとしています（2026年10月30日の発表）
- 通販サイト2つ：「HANKYU HANSHIN E-STORES」と「Remo Order」は、第1報で調査中としていた顧客情報の外部への漏えいは確認されなかったとしています
- H2O ID：第1報で公表した H2O ID 約126万件の漏えいについて、第2報では件数の訂正は書かれていません
- 原因：第2報でも公表されていません。詳しい調査を続け、新しい事実が分かれば公表するとしています
- サービス：システムの総点検のため、阪急阪神百貨店の一部のサービスを止めているとしています
経緯
- 2026年10月16日：予約サイトを経由した顧客管理システムへの不正アクセスを確認し、予約サイトを停止
- 2026年10月17日：通販の「HANKYU HANSHIN E-STORES」「Remo Order」でも不正アクセスを確認し、停止
- 2026年10月19日：第1報。H2O ID 約126万件の氏名・住所・電話番号・メールアドレス・生年月日などの漏えいを公表。通販サイト2つは調査中
- 2026年10月30日：第2報。予約サイトの申込情報 6,243件の漏えいが新たに判明。通販サイト2つの漏えいは確認されず
中小企業が今日からできること
- フォームの中身も台帳と同じに扱う：予約や問い合わせのフォームに入った内容（参加者の名前・連絡先・備考）がどこに、いつまで残るかを確かめ、使い終わったものは消す
- 予約の件数と保存の範囲を数えておく：漏えいの調査では「全体の何件のうち何件か」を答える必要がある。サイトごとの登録件数と保存の期間を一覧にしておく
- 調査中の範囲を分けて伝える：第1報で「調査中」とした範囲は、調査が終わったら結果（漏えいなし・あり）を必ず知らせる。お客さまへの連絡の手順に入れておく
- 総点検の間の代わりの受付を用意する：サイトを止めたときに、電話や店頭など別の受付で予約を受けられるかを決めておく