JP — ITmedia
阪急阪神百貨店などの共通ID、ほぼ全会員分漏えい 約126万件 予約サイトに不正アクセス
セキュリティ2分で読めます
阪急阪神百貨店の予約サイトが不正アクセスを受けました。グループ共通の会員ID「H2O ID」に関する個人情報約126万件の一部が漏えいしました。
何が起きたか
大阪市のエイチ・ツー・オー リテイリングは2026年10月19日、子会社の阪急阪神百貨店が運営する予約サイトに第三者による不正アクセスがあったと発表しました。H2O ID会員の個人情報の一部が漏えいしました。同社は、これまでに漏えい情報の不正利用や二次被害は確認していないとしています。
主な数字と事実
- 関係する個人情報は約126万件です。
- 不正アクセスは10月16日に確認されました。同社は同日中に外部からの不正な通信を遮断し、予約サイトのシステム全体を停止しました。
- 10月17日には、通販サイト「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスが確認され、両サイトも停止しました。
- 漏えいは10月19日に判明しました。
- ほぼ全てのH2O ID会員について、氏名、性別、メールアドレス、郵便番号、住所、電話番号、年齢、生年月日などが対象です。
背景
H2O IDは、グループの複数の会社やサービスで使える共通の会員IDです。そのため、一つの不正アクセスで複数のサービスに影響が及ぶことがあります。同社によると、通販サイトはカードの種別、下4桁、有効期限などを持っていますが、カード番号の全桁やセキュリティコードは持っていません。ログインパスワードの漏えいも確認していないとしています。
なぜ重要か
氏名、住所、電話番号などの個人情報は、詐欺に悪用される恐れがあります。会員は、同社を装った不審な連絡を受け取る可能性があります。身に覚えのないメールや電話は、確かめるまで信用しないことが大切です。
今後の注目点
- E-STORESとRemo Orderからの漏えいがあったかどうかは、まだ調査中です。
- 原因の究明と脆弱性の修正を経て、サービスがいつ再開されるか。
- 漏えいした情報が実際に悪用されたという報告が出るかどうか。
用語解説
- エイチ・ツー・オー リテイリング
- 関西で百貨店などの店舗を運営する日本の会社です。
- H2O ID
- グループの会社やサービスで共通して使える会員IDです。
- 不正アクセス
- 許可なくコンピューターシステムやウェブサイトに侵入することです。ハッキングとも言います。
- 個人情報
- 氏名、住所、電話番号など、個人を特定できる情報のことです。
- HANKYU HANSHIN E-STORES
- グループが運営する、インターネットで商品を売るオンラインショップです。
- Remo Order
- グループが使うオンライン注文サービスで、注文履歴や一部のカード情報を保持しています。