【緊急】阪急阪神百貨店でH2O ID約126万件が漏えい｜利用者と企業が確認すること

企業のセキュリティ事故の報告が続く中、また新たな漏えいが報告されました。

2026年10月19日、百貨店を展開するエイチ・ツー・オー リテイリングが、株式会社阪急阪神百貨店が運営するサイトへの第三者による不正アクセスにより、会員IDである「H2O ID」約126万件の個人情報の一部が漏えいしたと公表したのです。

本記事では、2026年10月20日時点の公式発表に沿って、確定したことと調査中のことを分けて解説します。あわせて、対象となる方の確認事項と、1つのIDで複数のサイトを使える共通IDを運営する企業の点検項目を整理します。問い合わせ先・確認先は、巻末の表にまとめています。

何が起きたか：H2O ID約126万件の不正アクセスと漏えいの経緯

公式発表『第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ』によると、10月16日の不正アクセスの確認から、10月19日の漏えいの判明までの経過は、次のとおりです。

阪急阪神百貨店は、発生の確認後すぐに個人情報保護委員会（個人情報の取り扱いを監督する国の機関）へ報告し、所轄の警察署へ被害を申告しました。現在は、原因の究明とセキュリティ上の弱点の解析を進めています。新たな事実が分かった場合は、同社のホームページ等で開示するとしています。

3つのサイトは、原因の究明と弱点の修正を行い、安全が確認され次第、再開する予定です。再開の日付は、決まり次第、同社のホームページで知らせるとされています。

影響を受ける人：対象件数と漏えいした情報

漏えいが判明したのは、「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムが管理する、H2O ID会員の情報です。自分がH2O IDを持っているか分からない場合は、巻末の表にある公式窓口に問い合わせましょう。公式の数字の読み方は、次のとおりです。

漏えいした項目は、次のとおりです。

なお、2026年10月20日現在でログインパスワードの漏えいは確認されていません。また、本件に起因すると考えられる不正利用や二次被害は、公表時点で確認されていません。

あわせて、同ジャが経営する通販サイト「HANKYU HANSHIN E-STORES」と「Remo Order」は、両サイトの利用者について、次の4つの情報が漏えいした可能性を調査中です。

同社は、クレジットカード番号の全桁とセキュリティコードは保持していないと説明しています。通販2サイトの件数は未公表のため、約126万件には合算せず、同社の続報で確かめましょう。この2サイトを使ったことがある方は、念のためカードの利用明細を確認し、身に覚えのない請求があれば各カード会社に連絡してください。

対象者が今すぐ確認すること：連絡メールの確認と便乗詐欺への対応

H2O IDの会員には、同社から電子メールで順次連絡が届きます。そのメールが本物かどうかは、どう見分ければよいのでしょうか。確認する順番は、次のとおりです。

エイチ・ツー・オー リテイリングでは、H2O IDに登録したメールアドレスや電話番号宛てに、同社を装った不審なメールやSMS、電話が届く可能性があると呼びかけています。

注意したいのは、漏えいした項目には氏名、住所、生年月日が含まれている点です。つまり、相手があなたの個人情報を言い当てても、同社からの連絡である証拠にはならないのです。迷ったときは、メール内のリンクを使わず、巻末の表の公式発表や公式窓口を自分で開いて確認しましょう。

利用者と企業が備えておく点検項目

代替テキスト候補：

画像保存フォルダを開く

利用者が備えておくことは、次の3つです。

企業の側では、1つのIDで複数の通販・予約サイトを使える共通IDを自社で運営している場合、顧客データは1カ所に集まります。しかし、情報を1つに集めるほど、1つのサイトで起きた事故がほかのサイトにも広がりやすくなります。事故が起きる前に、企業が点検しておきたい項目は、次のとおりです。

まとめ：確定した事実と調査中の点を分け、公式サイトを自分で開く

阪急阪神百貨店が運営するサイトへの不正アクセスで、H2O IDの会員情報の一部が漏えいし、3つのサイトが停止されました。

H2O IDの約126万件は、公式が漏えいを確認した範囲です。通販2サイトの注文履歴やカード情報の一部などは、調査が続いている範囲です。この2つを分けて受け止めることが、件数や対象の取り違えを防ぎます。

対象となる方は、次の3点を押さえてください。

続報は、同社のホームページで確認しましょう。

企業の方は、共通のIDが、どのシステムのどのサイトに届くのかを、自社の構成で書き出してみてください。停止の範囲、顧客への通知、届出の手順まで決めておけば、事故が起きたときの初動を、あらかじめ定められます。貴社の共通IDは、どのサイトの顧客データにつながっているでしょうか。まずは、サイトとシステムの対応表をつくるところから始めてみてください。

困ったときの連絡先と、出典と参照情報を、次の表にまとめます。