incidentlog.jp最終更新 2026-10-29
IncidentLogインシデントログ

2026-10-19 公表 · h2o-retailing-20261019

エイチ・ツー・オー リテイリング：第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ

不正アクセス情報漏えい第1報AI関与: 未評価
公開データ JSON（CC BY 4.0）
影響件数
約126万アカウント
H2O ID 会員（阪急百貨店・阪神百貨店予約サイト経由） · 確認済み
対象となった情報
アカウント ID、氏名、メールアドレス
他 4 種
侵入経路
不明・非公表
漏えいの確認
確認済み
第1報

要約

公表文の事実のみ

エイチ・ツー・オー リテイリング株式会社は2026年10月19日、子会社の株式会社阪急阪神百貨店が運営する阪急百貨店・阪神百貨店予約サイト、HANKYU HANSHIN E-STORES、Remo Orderで第三者による不正アクセスがあり、個人情報の一部が漏えいしたと公表した。10月16日に予約サイト経由で顧客管理システムへの不正アクセスを確認し、同サイトを停止した。10月17日にはE-STORESとRemo Orderでも確認され、両サイトを停止した。調査で、H2O IDのうち約126万件の個人情報の一部の漏えいが判明した。同社は個人情報保護委員会へ報告し、警察へ被害申告した。原因と脆弱性は調査中で、再開は安全確認後としている。

組織
エイチ・ツー・オー リテイリング株式会社企業
業種
卸売業，小売業 · 小売
所在地
大阪府
検知日
2026-10-16
根拠:「2026 年 10 月 16 日（金）、「阪急百貨店・阪神百貨店予約サイト」を経」[s1]
第1報の公表日
2026-10-19
根拠:「2026 年 10 月 19 日」[s1]
影響件数
H2O ID 会員（阪急百貨店・阪神百貨店予約サイト経由） 約1,260,000アカウント（確認済み）
根拠:「約 126 万件の個人情報の一部が漏えいしたことが判明」[s1]
対象となった情報
アカウント ID、氏名、メールアドレス、電話番号、住所、生年月日、その他
漏えいの確認状況
確認済み
侵入経路
不明・非公表
原因（公表の記述）
原因は現在調査中であり、詳細な原因究明およびセキュリティ脆弱性の解析・調査を進めている。
業務への影響
阪急百貨店・阪神百貨店予約サイト、HANKYU HANSHIN E-STORES、Remo Order（2026-10-16〜）
根拠:「同日、外部からの不正な通信を遮断するなどの緊急措置を講じ」[s1]
公表文の記載項目
原因 あり件数 あり時系列 あり最終報告 なし

経過

日数差は全事案の中央値と並べる（統計 §初動の相場）
  1. 検知2026-10-16
  2. 同日業務停止2026-10-163 業務
  3. 3 日第1報2026-10-19
  4. 復旧未公表
  5. 最終報告未公表

検知から第1報まで 3 日（全事案の中央値 3 日）

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

影響を受ける可能性のある人へ

公表文の記載からの整理。推測は含まない

対象になりうる人

  • 漏えいが確認されている。公表文に記載された対象の範囲は「H2O ID 会員（阪急百貨店・阪神百貨店予約サイト経由）」。

すべきこと

  • そのサービスのパスワードを変え、同じパスワードを使っている他のサービスも変える。多要素認証が使えるなら有効にする。
  • その組織を名乗るメール・SMS・電話に注意する。リンクは開かず公式サイトから確認する。
  • なりすましによる契約・申込に注意する。

公表文・続報

公表の時系列

各行に原文と保存版へのリンク
  1. 2026-10-19第1報エイチ・ツー・オー リテイリング株式会社

    エイチ・ツー・オー リテイリング株式会社は2026年10月19日、子会社の阪急阪神百貨店が運営する予約サイトなど3サイトで第三者による不正アクセスがあり、H2O IDのうち約126万件の個人情報の一部が漏えいしたと公表した。10月16日と17日に確認され、各サイトのシステムを停止した。同社は個人情報保護委員会へ報告し、警察へ被害申告した。原因は調査中。

    原文 · 保存版（当サイト）

背景と関連情報

報道・分析・公的機関の出典から · 2026-10-20

経緯について。産経新聞（ITmedia転載）によれば、10月16日に阪急百貨店・阪神百貨店予約サイトを経由した顧客管理システムへの第三者による不正アクセスが確認され、同日中に外部からの不正な通信を遮断し、同サイトのシステム全体を停止した[s7]。翌17日にはHANKYU HANSHIN E-STORESとRemo Orderでも不正アクセスが確認され、両サイトも同日にシステム全体が停止された[s7]。朝日新聞によれば、不正アクセスは16日から17日にかけて、三つのサイトを通じて顧客管理システムに対して行われた[s8]。ascii.jpは、顧客管理システムへの不正アクセスによる流出が19日に判明したと伝えている[s9]。

影響範囲について。産経新聞によれば、H2O IDのうち約126万件が漏えいし、ほぼ全てのH2O ID会員情報が漏えいしたとみられる[s7]。ascii.jpによれば、H2O IDは阪急阪神百貨店をはじめH2Oグループの対象サービスで共通して使える会員IDで、同社は調査中としつつ、ほぼすべてのH2O ID会員が対象だとしている[s9]。朝日新聞も、会員IDのほぼ全てにあたる約126万件が対象と報じた[s8]。

漏えいした情報の項目について。ascii.jpによれば、H2O ID、氏名、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、利用サービスの項目が対象である[s9]。一方、HANKYU HANSHIN E-STORESとRemo Orderについて、ascii.jpは、注文履歴、カード番号下4桁・名義・有効期限などのカード情報の一部、ポイントカード情報の一部、アドレス帳情報を保有しているものの、漏えいしたかどうかは調査中だと伝えている[s9]。産経新聞も、この2サービスでは注文履歴やクレジットカード、ポイントカードに関する一部情報が含まれ、漏えいの可能性を調べていると報じた[s7]。朝日新聞は、流出した可能性のある情報にクレジットカード番号の下4ケタが含まれるとしている[s8]。

被害状況と対応について。産経新聞によれば、現時点で不正利用や二次被害の発生は確認されていない[s7]。同社は被害確認後、個人情報保護委員会に報告し、警察に被害を申告した[s7]。原因究明とセキュリティー上の脆弱性の修正を進め、安全性が確認され次第サービスを再開する方針である[s7]。ascii.jpによれば、同社は登録されたメールアドレスや電話番号に、同社を装う不審な連絡が届く可能性があるとして注意を呼びかけている[s9]。朝日新聞によれば、問い合わせ用の専用窓口が設けられ、午前10時から午後8時まで受け付けている[s8]。

同時期の事案について。産経新聞の関連リンクには、バーガーキング（1118万件）、「銀のさら」（最大650万件）、MrMax（最大173万人分）、焼肉きんぐ（1000万件超）、ソースネクスト（最大2251万件）といった、10月に報じられた大規模な情報流出事案が並んでいる[s7]。朝日新聞も、10月19日に判明した不正アクセスとして、ニフティ（最大54万件）、ふるさとチョイスを運営するトラストバンク、ユミルリンク（延べ約900万件）、ジェトロ（743件）などを併せて伝えている[s8]。ただし、これらと今回の事案との関係を示す記述は両紙にない。

攻撃グループ

帰属の根拠と確度

この事案に結びついた攻撃グループの記録はありません。

手口と痕跡

不明・非公表: 公表に記載がない

公表に侵入経路の記載はありません。手口ごとの兆候と備えの要点は手口の解説にあります（この事案の手口を推定するものではありません）。

AI関与の評価

昇格には出典が要る

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

関連

同じ組織・委託先・製品・業種・手口の記録

一覧で探す: 2026年の統計 · 卸売業，小売業の事案 · 大阪府の事案

出典

項目別の根拠引用（4）
  • disclosedAt: 「2026 年 10 月 19 日」[s1]
  • counts[0]: 「約 126 万件の個人情報の一部が漏えいしたことが判明」[s1]
  • detectedAt: 「2026 年 10 月 16 日（金）、「阪急百貨店・阪神百貨店予約サイト」を経」[s1]
  • stoppedFrom: 「同日、外部からの不正な通信を遮断するなどの緊急措置を講じ」[s1]

この記録について

記録の作成
2026-10-20
更新
2026-10-21
出典の最終取得
2026-10-21
識別子
h2o-retailing-20261019
  • 2026-10-21更新: 背景と関連情報を出典 3 件で追加（自動）

当サイトが書いた要約・分類・突合の結果は CC BY 4.0 で利用できます（出典と利用条件）。 この記録の訂正・削除を依頼する