本文へ移動
情報漏えいウォッチ
エイチ・ツー・オー リテイリング株式会社 ロゴエイチ・ツー・オー リテイリング株式会社状態：調査中

阪急阪神百貨店「H2O ID」不正アクセス事件

エイチ・ツー・オー リテイリングは2026年10月19日、阪急阪神百貨店が運営する予約サイトを経由して顧客管理システムが不正アクセスを受け、「H2O ID」約126万件の個人情報の一部が漏えいしたと発表した。氏名、住所、メールアドレス、電話番号、生年月日などが対象としている。30日の第2報では、予約サイトの入力フォームの記載内容6,243件の漏えいが新たに判明した一方、公式通販サイトとRemo Orderからの漏えいは確認されなかったとした。

公表された件数（最大の区分）

約126万件

対象とされた主な情報

  • 氏名
  • 性別
  • メールアドレス
  • 住所
  • 電話番号
  • 生年月日
公表日
2026年10月19日
発生日
未確認
公式発表
4本を確認
公式発表の最終確認
2026年11月11日
このページの目次
  1. 利用者が確認すること
  2. 対象者と対象の情報
  3. 原因と企業の対応
  4. 経過
  5. 規模の比較
  6. 集団訴訟
  7. 補償情報
  8. 出典・更新履歴
  9. よくある質問

利用者が確認すること

企業の案内にもとづく確認事項

  • H2O ID に登録したメールアドレスや電話番号宛ての、同社を装う不審なメール、SMS、電話に注意する
  • 同社からの案内メールの送信元は noreply@h2o-retailing.co.jp。それ以外からの連絡に注意
  • 窓口（第2報）：フリーダイヤル 0120-220-693、0120-600-213、0120-213-940（各日午前10時〜午後8時）／メール hhd-callcenter@hankyu-hanshin-dept.jp
  • 第1報の窓口は 0120-110-256 または 0120-369-089、フォーム https://h2o-id.h2o-retailing.co.jp/web/contact

対象者と対象の情報

対象者

H2O ID 会員（約126万件。「ほぼ全ての H2O ID 会員」としている）。加えて、阪急百貨店・阪神百貨店予約サイトでイベント等を申し込んだ人（第2報）。

対象情報・件数

  • H2O ID 会員：約126万件。H2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O ID での利用サービス項目
  • 予約サイトの入力フォーム記載内容（参加者などの申し込み情報を含む）：6,243件（予約総数 188,590件のうち3％相当）＝第2報で新たに判明
  • HANKYU HANSHIN E-STORES／Remo Order：第1報では商品注文履歴、クレジットカード情報の一部（カード種別、下4桁、名義、有効期限）、ポイントカード情報の一部、アドレス帳の情報を保持しており調査中としていたが、第2報で「外部への漏えいは確認されませんでした」とした
  • クレジットカード番号の全桁とセキュリティコードは保持していない
  • ログインパスワードの漏えいは確認されていない

原因と企業の対応

発生原因

「阪急百貨店・阪神百貨店予約サイト」を経由した、顧客管理システムへの第三者による不正アクセス。詳しい原因と脆弱性は調査中としており、第2報でも具体的な説明はない。

企業の対応

  • 10/16：予約サイト経由の不正アクセスを確認。不正な通信を遮断し、同サイトのシステム全体を停止
  • 10/17：HANKYU HANSHIN E-STORES と Remo Order でも不正アクセスを確認し、両サイトのシステム全体を停止
  • 10/19：H2O ID 約126万件の漏えいが判明し公表。個人情報保護委員会へ報告、所轄警察署へ被害申告。会員へメールで順次連絡（送信元：noreply@h2o-retailing.co.jp）
  • 10/30：第2報。外部専門機関の調査で判明した事実を公表。システムの総点検を実施中で、阪急阪神百貨店の一部サービスを停止

経過

  1. 予約サイトを経由した顧客管理システムへの不正アクセスを確認。同サイトを停止 出典（新しいタブで開きます）

  2. HANKYU HANSHIN E-STORES と Remo Order でも不正アクセスを確認。両サイトを停止 出典（新しいタブで開きます）

  3. H2O ID 約126万件の個人情報の一部が漏えいしたと判明し、第1報を公表 出典（新しいタブで開きます）

  4. 第2報。予約サイトの入力フォーム記載内容6,243件の漏えいが新たに判明。E-STORES／Remo Order からの漏えいは確認されず 出典（新しいタブで開きます）

当サイトの関連記事

  1. 発覚・公表
    阪急阪神百貨店の予約サイトに不正アクセス、共通ID約126万件漏えいか

規模の比較

当サイトに掲載している事件を、各社が公表した件数の大きい順に並べています。件数の数え方（件・人・アカウント）は事件ごとに異なります。

  1. 1ソースネクスト株式会社 ロゴ
    ソースネクスト会員情報 不正アクセス事件2,252万（公表値：22,519,960件）
  2. 2株式会社アドベンチャー ロゴ
    skyticket 不正アクセス事件1,464万（公表値：約1,464万件）
  3. 3株式会社物語コーポレーション ロゴ
    「焼肉きんぐ」公式アプリ 不正アクセス事件1,079万（公表値：10,788,963件）
  4. 4株式会社第一興商 ロゴ
    第一興商 委託先マルウェア感染事件872万（公表値：約8,724,000件）
  5. 5タイムズモビリティ株式会社 ロゴ
    タイムズカー情報漏えい事件663万（公表値：6,628,007件）
  6. 6ブックオフグループホールディングス株式会社 ロゴ
    ブックオフ会員情報 不正アクセス事件643万（公表値：6,427,735件）
  7. 7ヤマト運輸株式会社 ロゴ
    クロネコ代金後払いサービス 不正アクセス事件526万（公表値：約526万件）
  8. 8株式会社トラストバンク ロゴ
    ふるさとチョイス 不正アクセス事件445万（公表値：4,454,097件）
  9. 9株式会社リクルート ロゴ
    カーセンサーnet 不正アクセス事件371万（公表値：最大3,709,551件）
  10. 10株式会社ローソン ロゴ
    ローソンID 不正アクセス事件216万（公表値：2,155,345件）
  11. 11エイチ・ツー・オー リテイリング株式会社 ロゴ
    阪急阪神百貨店「H2O ID」不正アクセス事件126万（公表値：約126万件）

集団訴訟

参加登録をしない場合について（一般的な説明）

集団訴訟では、一般的に、参加登録をした人だけが後日の補償・賠償の対象になるケースが多いとされています。登録をしなかった場合、後から同じ条件で参加できるとは限りません。正式な参加条件は、必ず各窓口でご確認ください。

現時点で確認できる集団訴訟の情報はありません。

参加の判断はご自身でお願いします。補償の有無・内容は情報未確認

補償情報

補償に関する情報は確認できていません

出典・更新履歴

企業の公式発表

  1. 第1報（ページ）（新しいタブで開きます）
  2. 第1報（PDF本文）（新しいタブで開きます）
  3. 第2報（ページ）（新しいタブで開きます）
  4. 第2報（PDF本文）（新しいタブで開きます）

当サイトの記事の出典

  1. ITmedia（新しいタブで開きます）

公式発表の最終確認：2026年11月11日。続報が出た場合は、内容を更新します。

よくある質問

本ページは一般的な情報の提供を目的としたもので、法律相談ではありません。参加を推奨するものでもありません。