日本脆弱性総合ポータル

阪急阪神百貨店：阪急百貨店・阪神百貨店の予約サイトなどで不正アクセス、H2O ID会員の個人情報が漏えい

重要度
業務やサービスの停止・約126万件
公表日
2026.10.19
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 予約サイトなどで不正アクセスがあり、顧客情報が漏えいした。
  2. 原因は調査中で、侵入口は公表されていない。
  3. H2O IDの登録者は、当社を装う不審なメールなどに注意する。

エイチ・ツー・オー リテイリングの子会社、阪急阪神百貨店が運営する予約サイトなどで第三者による不正アクセスがあった。「H2O ID」会員約126万件の個人情報の一部が漏えいしたとされ、現時点で不正利用や二次被害は確認されていない。侵入口は調査中である。

確認された経路・公表元の推定

  1. 2026年10月16日、「阪急百貨店・阪神百貨店予約サイト」経由で顧客管理システムへの不正アクセスを確認し、同サイトを全体停止した。
  2. 2026年10月17日、「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトを全体停止した。
  3. 2026年10月19日、調査により顧客管理システムの「H2O ID」約126万件の個人情報の一部が漏えいしたことが判明した。

根拠の要点

2026年10月16日に「阪急百貨店・阪神百貨店予約サイト」経由の不正アクセスを確認し、10月19日に約126万件のH2O IDの個人情報の一部が漏えいしたと判明した。資料には侵入口や脆弱性が特定された記載がなく、詳細な原因究明と脆弱性の解析は調査中とされる。

資料の基準時点：2026年10月19日時点の公表資料

当時、対策できたのか

判定保留

資料は侵入口や脆弱性を特定しておらず、「現在、詳細な原因究明およびセキュリティ脆弱性の解析・調査を進めております」としているため、対策の欠落か発覚時の未発見かを判定できない。

公表された対策

  • 対象サービスのホームページおよび機能について、同様の手口による新たな被害の拡大防止措置を完了
  • 個人情報保護委員会への報告と、所轄警察署への被害申告を実施
  • H2O ID会員へ電子メールで順次連絡
  • 原因究明およびセキュリティ脆弱性の修正を実施したうえで、安全が確認され次第サービスを再開する予定
  • H2O ID登録のメールアドレスや電話番号宛の不審な連絡に注意するよう呼びかけ

この事例を理解するための動画

まだ分からないこと

  • 侵入口（最初にアクセスされた経路）と脆弱性の内容。原因究明と解析は進行中。
  • HANKYU HANSHIN E-STORESとRemo Orderで個人情報が漏えいしたかどうかと、その範囲。現在調査中。
  • 漏えい対象の正確な人数。ほぼ全ての会員が対象とされるが、調査中。
  • サービス再開時期。原因究明と脆弱性修正の後に再開する予定。

関連する事例

同じ原因分類の事例

事例の一覧に戻る