【阪急阪神百貨店】予約サイト経由で顧客管理システムに不正アクセス、「H2O ID」会員約126万件の個人情報が漏えい、通販など3サービスを停止

公表：2026年10月19日

3行でわかるポイント

1. 阪急阪神百貨店の「阪急百貨店・阪神百貨店予約サイト」を入口に、顧客管理システムへ不正アクセスがあり、「H2O ID」会員約126万件の個人情報が漏えいしました（ほぼすべての会員が対象）。
2. 「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスがあり、注文履歴やカード情報の一部などが漏れた可能性を調べています。
3. 3つのサービスはすべて止まっています。ログインパスワードの漏えいは確認されていないとしています。

何が起きたか

エイチ・ツー・オー リテイリングと阪急阪神百貨店は10月19日、第三者による不正アクセスと個人情報の漏えいを発表しました。10月16日（金）に「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスを確認し、同日、不正な通信を遮断して予約サイト全体を止めました。10月17日（土）には「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトも止めました。10月19日の調査で、顧客管理システムで管理する「H2O ID」の個人情報の一部が漏えいしたことがわかりました。

漏れた可能性のある情報

影響／原因

詳しい原因は調査中で、脆弱性の解析を進めています。予約サイト、HANKYU HANSHIN E-STORES、Remo Order の3サービスは止まったままで、原因の究明と脆弱性の修正を終え、安全が確認できしだい再開するとしています（時期は未定）。個人情報保護委員会への報告と警察への被害申告は済ませています。公表時点で、この件による不正利用などの二次被害は確認されていません。

利用者が今すべきこと

1. H2O IDに登録したメールアドレスや電話番号に、同社を装った不審なメール・SMS・電話が来るおそれがあります。身に覚えのない連絡のURLは開かないでください。
2. 同社からの案内メールの送信元は noreply@h2o-retailing.co.jp です。それ以外からの「お詫び」「返金」などの連絡には注意しましょう。
3. 問い合わせ：0120-110-256 または 0120-369-089（毎日10時〜20時）

私たちが学べること

今回は、会員情報を一元管理するIDの仕組みに、予約サイトという入口からたどり着かれました。共通IDは便利な反面、どこか一つの入口が破られると全会員に影響が及びます。共通IDにつながるサービスほど、入口ごとの守りを固くしておく必要があります。

経過

出典

1. エイチ・ツー・オー リテイリング「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日）
2. セキュリティ対策Lab（2026年10月19日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。