阪急・阪神百貨店の共通会員ID「H2O ID」、ほぼ全員の約126万件の個人情報が漏えい 予約サイトから不正アクセス、通販サイトも停止

阪急百貨店や阪神百貨店を傘下に持つエイチ・ツー・オー リテイリングと阪急阪神百貨店は2026年10月19日、百貨店の予約サイトを経由して顧客管理システムに第三者による不正アクセスがあり、グループの共通の会員ID「H2O ID」の約126万件の個人情報の一部が漏れたと発表した。調べている最中だが、ほぼすべてのH2O IDの会員が対象だという。

何が起きたのか

会社は、国の個人情報保護委員会に報告し、警察署に被害を届け出た。今のところ、この件による不正な利用や二次被害は確認されていないという。

H2O IDは、阪急阪神百貨店をはじめ、グループの対象のサービスで共通して使える会員のIDだ。

漏れた情報

予約サイト経由(約126万件・H2O IDの会員): H2O ID、氏名(漢字とカナ)、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDで使っているサービスの項目

通販サイト経由(漏れたかどうかは調査中): 会社によると、2つの通販サイトは次の情報を持っている。

• 商品の注文の履歴
• クレジットカードの情報の一部(カードの種類、番号の下4桁、名義、有効期限)
• ポイントカードの情報の一部(種類、番号の下4桁)
• アドレス帳の情報

会社は、カードの番号の全桁とセキュリティコードは持っていないので、カードを不正に使われるおそれはないとしている。ポイントカードも番号の下4桁だけなので、ポイントを不正に使われるおそれはないという。ログインのパスワードの漏えいも確認されていない。

気をつけたいこと

名前、住所、電話番号、メールアドレス、生年月日がそろって漏れたので、会社を装った詐欺の連絡が来やすくなる。会社も、H2O IDに登録したメールアドレスや電話番号に、会社を名乗る不審なメール、SMS、電話が来るおそれがあるとして、注意を呼びかけている。

• 案内の送り主を確かめる: 会社からの案内は「noreply@h2o-retailing.co.jp」から届く。それ以外から来た連絡には注意する
• リンクを押さない: 身に覚えのない連絡や、怪しいURLは開かない
• パスワードの使い回しを見直す: パスワードは漏れていないとされるが、同じパスワードをほかで使っていれば、念のため変えておくと安心だ(TECHNOVAの見方)

デパートの顧客名簿の束が、裏口から持ち出されたような状況だ(TECHNOVAの見方)。財布の中身(カードの全桁)は名簿に書かれていなかったが、名前や住所、電話番号を知った誰かが、デパートの店員を名乗って連絡してくるおそれがある。

問い合わせは、フリーダイヤル(0120-110-256または0120-369-089、毎日午前10時から午後8時)と、問い合わせのフォームで受け付けている。

今後

会社は、原因を詳しく調べ、弱点を直したうえで、安全が確かめられたらサービスを再開するとしている。H2O IDの会員には、メールで順に連絡している。10月は、ブックオフやJoshin、ゲオなど、身近な小売りのサービスへの不正アクセスの発表が相次いでいる(関連記事: 相次ぐ情報漏えい、原因の一つは「アプリを解析してサーバーを攻撃」)。

かんたんに言うと

阪急・阪神百貨店の共通の会員ID「H2O ID」の、ほぼ全員分にあたる約126万件の名前や住所、電話番号などが漏れた。カードの番号の全桁やパスワードは漏れていないとされるが、会社を名乗る詐欺の連絡には気をつけたい。

まとめ

エイチ・ツー・オー リテイリングと阪急阪神百貨店は、予約サイトを経由した不正アクセスで、H2O IDの約126万件の個人情報の一部が漏れたと発表した。通販サイトでも不正アクセスがあり、止めて調べている。会員は、会社を装った不審な連絡に乗らないよう気をつけ、続報を確かめたい。