エイチ・ツー・オー リテイリング株式会社と株式会社阪急阪神百貨店は2026年10月19日、阪急阪神百貨店が運営する複数のサービスで第三者による不正アクセスが発生し、グループ共通会員ID「H2O ID」に登録された約126万件の個人情報の一部が漏えいしたと発表しました。
阪急阪神百貨店の3サービスで不正アクセス
発表によると、10月16日に「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの第三者による不正アクセスを確認しました。同社は外部からの不正な通信を遮断するなどの緊急措置を実施し、被害拡大を防ぐため同サイトのシステム全体を停止しました。
さらに10月17日には、「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サービスについてもシステム全体を停止しました。
H2O ID約126万件の個人情報が漏えい
その後の調査により、顧客管理システムで管理しているH2O IDのうち、約126万件について個人情報の一部が漏えいしたことが判明しました。
漏えいが確認された情報には、H2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでの利用サービス項目が含まれます。
注文履歴やカード情報の一部は漏えいの有無を調査中
「HANKYU HANSHIN E-STORES」と「Remo Order」が保持する情報については、現時点で漏えいの有無を調査しています。対象には商品注文履歴、クレジットカード情報の一部、ポイントカード情報の一部、アドレス帳の情報が含まれます。
クレジットカード関連で保持しているのは、カード種別、カード番号の下4桁、カード名義、有効期限です。決済情報の非保持化に対応しており、クレジットカード番号の全桁およびセキュリティコードは保持していないとしています。また、ログインパスワードの漏えいも確認されていません。
不審なメールやSMS、電話に注意
同社は今回の事案について個人情報保護委員会へ報告するとともに、所轄警察署へ被害を申告し、H2O ID会員へ電子メールで順次連絡しています。
現時点では、今回の事案に起因すると考えられる不正利用や二次被害は確認されていません。一方、漏えいした情報にはメールアドレスや電話番号、利用サービスに関する情報などが含まれるため、今後エイチ・ツー・オー リテイリングや阪急阪神百貨店を装ったフィッシングメール、SMS、電話などに利用される可能性があります。
身に覚えのない案内や、パスワード・カード情報などの入力を求めるURLが届いた場合は、メールやSMS内のリンクからアクセスせず、公式サイトや公式アプリから情報を確認してください。
原因究明と脆弱性の調査を継続
エイチ・ツー・オー リテイリングと阪急阪神百貨店は、詳細な原因究明とセキュリティ上の脆弱性の解析・調査を進めています。原因の究明と必要な修正を行い、安全性を確認したうえで対象サービスを再開する方針です。