日本脆弱性総合ポータル

阪急阪神百貨店：阪急阪神百貨店の予約サイトなどで不正アクセス、H2O ID会員の個人情報が漏えい

重要度
業務やサービスの停止・約126万件
公表日
2026.10.19
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 不正アクセスで、H2O ID会員約126万件の個人情報の一部が漏えいした。
  2. 侵入口は未公表だが、予約サイトの申込情報6,243件の漏えいも新たに判明した。
  3. H2O ID会員は、当社を装う不審なメールなどに注意する。

阪急阪神百貨店が運営する予約サイトなどに第三者による不正アクセスがあり、H2O ID会員約126万件の個人情報の一部が漏えいした。第2報では、予約サイトの入力フォーム記載内容6,243件の漏えいも新たに判明したとされた。HANKYU HANSHIN E-STORESとRemo Orderでは、顧客情報の漏えいは確認されなかった。現時点で不正利用や二次被害は確認されていない。侵入口は調査中である。

確認された経路・公表元の推定

  1. 2026年10月16日、「阪急百貨店・阪神百貨店予約サイト」経由で顧客管理システムへの不正アクセスを確認し、同サイトのシステム全体を停止した。
  2. 2026年10月17日、「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトのシステム全体を停止した。
  3. 2026年10月19日、調査の結果、「H2O ID」約126万件の個人情報の一部が漏えいしたことが判明し、公表した。
  4. 2026年10月30日の第2報で、外部からのアクセスを遮断したうえで詳細調査を実施した結果、予約サイトの入力フォーム記載内容6,243件の漏えいが新たに判明した。
  5. システムの総点検のため、阪急阪神百貨店の一部サービスを停止している。

根拠の要点

第1報は、2026年10月16日に「阪急百貨店・阪神百貨店予約サイト」経由で顧客管理システムへの不正アクセスを確認し、10月19日に「H2O ID」約126万件の個人情報の一部が漏えいしたと判明したと報告している。第2報は、予約サイトの入力フォーム記載内容6,243件の漏えいが新たに判明したと報告し、HANKYU HANSHIN E-STORESとRemo Orderでは顧客情報の漏えいは確認されなかったとしている。侵入口や脆弱性は資料で特定されておらず、詳細な原因究明と脆弱性の解析は調査中とされる。

資料の基準時点：2026年10月30日（第2報）

当時、対策できたのか

判定保留

資料は侵入口と脆弱性を特定しておらず、詳細な原因究明と脆弱性の解析を進めているとしている。攻撃時点の防御条件や修正版の時期も示されていないため、対策が欠けていたのか、発覚時点で未発見だったのかは判定できない。

公表された対策

  • 外部からの不正な通信を遮断するなどの緊急措置を講じ、予約サイトのシステム全体を停止した。
  • E-STORESとRemo Orderについても、10月17日に両サイトのシステム全体を停止した。
  • 同様の手口による新たな被害と影響の拡大を防ぐ措置を完了した。
  • 個人情報保護委員会へ報告し、所轄警察署へ被害を申告した。
  • H2O ID会員へ電子メールで順次連絡した。
  • 外部専門機関による詳細調査を実施し、システムの総点検を進めている。
  • 阪急阪神百貨店の一部サービスの利用を停止している。
  • 原因究明とセキュリティ脆弱性の修正を実施したうえで、安全が確認され次第サービスを再開する予定である。
  • H2O IDに登録されたメールアドレスや電話番号宛に届く、同社を装った不審な連絡に注意するよう呼びかけている。

この事例を理解するための動画

まだ分からないこと

  • 侵入口（最初にアクセスされた経路）と脆弱性の内容は資料に記載がなく、原因究明と解析は進行中である。
  • 不正アクセスの発生時期（侵入日）は資料に記載がない。
  • 約126万件のH2O ID会員と、6,243件の予約サイト入力フォーム記載内容の関係は資料に説明がない。
  • 予約サイトの入力フォーム記載内容6,243件の具体的な項目は資料に記載がない。
  • HANKYU HANSHIN E-STORESとRemo Orderについては、第2報で顧客情報の漏えいは確認されなかったとされ、調査は継続中である。
  • H2O ID会員の漏えい対象の正確な人数は調査中で、ほぼ全ての会員が対象とされる。
  • 一部サービスの停止の範囲と再開時期は資料に記載がない。

関連する事例

同じ原因分類の事例

事例の一覧に戻る