H2Oリテイリング・阪急阪神百貨店の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月19日、エイチ・ツー・オー リテイリングと子会社の阪急阪神百貨店は、「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの第三者の不正アクセスを公表しました（エイチ・ツー・オー リテイリングの発表）。 10月16日に不正アクセスを確認して予約サイトを停止し、10月17日には通販の「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認して停止しました。 10月19日に、「H2O ID」約126万件（ほぼすべての会員）の氏名・住所・電話番号・メールアドレス・生年月日などが漏えいしたことが判明したとしています。通販サイト2つの漏えいの有無は調査中で、ログインのパスワードの漏えいは確認されていません。原因は調査中です。

会社の対応

• 不正な通信の遮断と、対象サイトのシステム全体の停止。同じ手口による被害を防ぐ措置を完了
• 個人情報保護委員会への報告と、所轄の警察署への被害の申告
• 会員へのメールでの連絡、専用の問い合わせ窓口の設置、不審な連絡への注意の呼びかけ
• 原因の究明と脆弱性の修正のあと、安全を確かめてからサービスを再開する予定としています

この事例から中小企業が学べること

• 1つの会員 ID で複数のサイトがつながると、1つの入口から全体の台帳に届くことがある。入口の一覧を持っておく
• 異常を見たときにサイトごとに止められる手順を用意しておく
• カード番号の全桁など、持たなくてよい情報は持たない
• 漏えいのあとのなりすましに備え、客への連絡の送信元を決めて知らせる