阪急阪神百貨店の情報漏えい126万件、何が漏れた？自分は対象か

阪急阪神百貨店の情報漏えい、何が起きた？発表の経緯

発表したのは、阪急阪神百貨店の親会社であるH2Oリテイリング（大阪市北区）と阪急阪神百貨店の2社です。不正アクセスを受けたのは、阪急阪神百貨店が運営する次の3つのサイトです。

• 阪急百貨店・阪神百貨店予約サイト（催事・イベントなどの予約）
• HANKYU HANSHIN E-STORES（阪急阪神百貨店の公式通販サイト）
• Remo Order（売場に電話などで注文し、スマホで決済するリモートショッピング。利用にはE-STORESの会員登録が必要）

• 9月9日（水）H2O IDが100万会員を突破と発表H2Oリテイリングは、H2O IDの会員数が8月末時点で100万人を超えたと発表していました（発表資料）。
• 10月16日（金）予約サイト経由の不正アクセスを確認予約サイトを経由した、顧客管理システムへの第三者による不正アクセスを確認。外部からの不正な通信を遮断し、予約サイトのシステム全体を止めました。
• 10月17日（土）通販2サイトでも不正アクセスHANKYU HANSHIN E-STORESとRemo Orderでも不正アクセスが確認され、同じ日に両サイトのシステム全体を停止しました。
• 10月19日（月）約126万件の漏えいが判明・公表その後の調査で、顧客管理システムで管理するH2O IDのうち約126万件の個人情報の一部が漏えいしたと判明し、同日に公表しました。

発表によると、2社は不正アクセスを確認した後、すぐに個人情報保護委員会に報告し、所轄の警察署に被害を申告しています。10月19日時点で、この件が原因とみられる不正利用や二次被害は確認されていないとしています。原因や攻撃の手口については「詳細な原因究明およびセキュリティ脆弱性の解析・調査を進めて」いる段階で、まだ明らかにされていません。

H2O IDの漏えいで何が漏れた？パスワードとカード情報は

発表は、漏えいが分かった「予約サイト経由」の分と、まだ調査中の「E-STORES・Remo Order経由」の分を分けて説明しています。表にまとめると次のとおりです。

H2Oリテイリング・阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日）より作成。

漏えいが判明した11項目

予約サイト経由で漏えいしたのは、次の11項目です。

H2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでのご利用サービス項目

最後の「H2O IDでのご利用サービス項目」は、その人がH2O IDでどのサービスを使っているかを示す情報とみられます。発表の項目には、購入履歴や、百貨店が接客のために作る「お客様カルテ」の情報は入っていません。

パスワードとカード番号は「漏えいしていない／持っていない」

発表は「ログインパスワードの漏えいも確認されておりません」としています。カード情報については、決済情報の「非保持化」に対応しており、カード番号の全桁とセキュリティコードは一切保持していないため不正に使われるおそれはない、と説明しています。通販側で持っているのは番号の下4桁・名義・有効期限などの一部で、これが漏れていたとしても、それだけでカードを使うことはできません。ポイントカードも番号の下4桁しか持っておらず、保有ポイントを不正に使われるおそれはないとしています。

自分は対象？「H2O ID」とは何か

H2O IDは、H2Oリテイリングが発行・管理するアカウントで、グループ各社のサービスを1つのIDで横断して使える共通IDです（H2Oリテイリング プライバシーセンター）。H2Oリテイリングのグループには、阪急百貨店（11店舗）・阪神百貨店（4店舗）を運営する阪急阪神百貨店のほか、食品スーパーを運営する関西フードマーケットなどがあります（同社のグループ企業一覧）。

今回の発表で「ほぼ全てのH2O ID会員」が対象とされているため、H2O IDを作った覚えがある人は、対象と考えて行動するのが安全です。H2Oは対象の会員にメールで順次連絡するとしています。次のような人は、H2O IDを持っている可能性があります。

• 阪急阪神百貨店の公式通販HANKYU HANSHIN E-STORESの会員（E-STORESの会員メニューには「会員基本情報(H2O ID)」の項目があります）
• 百貨店の催事・イベントなどを予約サイトで予約したことがある人
• Remo Orderを使ったことがある人（E-STORESの会員登録が必要）

H2Oリテイリングは9月9日の発表で、9月末に始まる「阪急阪神百貨店アプリ」や来春の食品スーパーのアプリなどで会員獲得を加速し、2030年度に1,000万会員をめざすとしていました。どのサービスがH2O IDを使っているかの一覧は公式サイトで案内されていますが、迷ったらH2O IDのお問い合わせフォームか、発表にあるフリーダイヤル（0120-110-256または0120-369-089、午前10時〜午後8時）で確認できます。

8月末に100万人、10月に約126万件

9月9日の発表では、H2O IDの会員数は8月末時点で100万人を突破でした。今回漏えいしたのは約126万件で、「ほぼ全て」の会員とされています。人数と件数なので単純には比べられませんが、8月末から10月19日までの49日間で、IDが大きく増えていたことがうかがえます。新しいアプリなどで会員を一気に増やしていた時期に、その会員基盤そのものが漏えいした形です。

共通IDの漏えいは何が違う？1つの入口から全会員へ

今回の特徴は、入口が「予約サイト」1つだったのに、漏れたのはH2O ID会員のほぼ全員分だったことです。発表によると、不正アクセスは予約サイトを「経由し、顧客管理システムに対する」ものでした。予約サイトを使ったことがない会員の情報も、共通の顧客管理システムに入っていたため、まとめて対象になったとみられます。

共通IDは、利用者にとっては1回の登録で複数のサービスを使える便利なしくみで、企業にとってはグループ全体の購買や行動のデータをつなげて分析できる基盤です。H2Oリテイリングも9月の発表で、H2O IDを「顧客データ活用ビジネス」の土台と位置づけていました。一方で、情報が1か所に集まるぶん、どこか1つのサービスに弱点があると被害が全体に広がるという裏返しのリスクがあります。

同じ週に公表された不正アクセス12件を比べる

阪急阪神百貨店の発表の前後には、ほかにも不正アクセスの公表が続いていました。10月15日から19日までの5日間に、各社・自治体が自らのサイトや適時開示で公表したもののうち、消費者が使うサービスに関わる主な12件を、当サイトが公式発表から一覧にしました（自治体は掲載日、続報はその公表日で並べています）。

各社・自治体の公式発表（10月19日14時時点で確認できたもの）を当サイトが集計。カーセンサーnetはサービス停止画面の告知、ビューティガレージとイエローハットは適時開示（TDnet）による。件数の数え方（件・名）は事業者ごとに異なります。

集計して分かったこと

• 漏えい（流出）を確認したのは12件中6件。残りの6件は「可能性」「おそれ」「調査中」の段階です。
• 件数が示された6件を単純に合計すると約651万件。最も多いのはイエローハットの確定値（約180万名）と日経（約183万件）で、阪急阪神の約126万件がそれに続きます。
• サービスを全面的に止めたのは6件、一部を止めたのは3件。9件で何らかの停止が起きています。
• カード番号の全桁が漏れたと発表した事業者は0件。各社とも「カード情報は持っていない」「対象外」と説明しています。
• パスワードについては、コミックシーモア（ハッシュ化されたもの）とイエローハット（復元できない状態のもの）の2件が流出を発表。ファンケル・アテニアは一部の人が設定したサブメールアドレスの2次パスワード（ハッシュ化）が対象で、メインのパスワードは対象外としています。

上場企業の適時開示（TDnet）でも、10月15日から19日（14時ごろまで）に件名に「不正アクセス」を含む開示が11件ありました（第2報・訂正・最終報を含む。TDnetの一覧から当サイトが集計）。阪急阪神のように非上場の子会社や、親会社のニュースリリースとして出たものはこの数に入らないため、実際の公表はさらに多いことになります。

個人情報保護委員会への報告は義務、確報の期限は12月中旬

個人情報保護法は26条で、個人の権利利益を害するおそれが大きい漏えいが起きたとき、事業者に個人情報保護委員会への報告と本人への通知を義務づけています。どんな場合が対象かは個人情報保護法施行規則7条が定めていて、今回は少なくとも次の2つに当たります。

• 不正の目的をもって行われたおそれがある行為（不正アクセスなど）による漏えい（3号）
• 本人の数が千人を超える漏えい（4号）

規則8条は、まず「速やかに」報告（いわゆる速報）したうえで、事態を知った日から30日以内、不正の目的によるおそれがある場合は60日以内に、原因や再発防止策などを含めた報告（確報）を出すよう求めています。H2Oは不正アクセスを確認した後、すぐに委員会へ報告したとしています。不正アクセスを確認した10月16日から数えると12月15日、漏えいが判明した19日から数えると12月18日が、60日の目安になります。

本人への通知は、H2Oが会員に電子メールで順次連絡する形で進めています。原因や被害の範囲は、この確報に向けた調査の中で明らかになっていくとみられます。

H2O IDの会員が今やっておくこと

パスワードとカード番号は漏れていないとされています。だからこそ、悪用のされ方は「だまして聞き出す」方向になりやすいと考えられます。優先度の高い順に並べました。

• 阪急・阪神・H2Oを名乗るメール・SMSのリンクを開かない：H2Oからの案内の送信元はnoreply@h2o-retailing.co.jpだけだと発表されています。これ以外から届いた「お詫び」「補償」「本人確認」などの連絡は疑ってください。
• 電話と郵便にも注意する：携帯電話番号・電話番号・住所も漏れています。百貨店やカード会社、警察などを名乗って口座やカード番号、暗証番号を聞き出す電話には答えず、いったん切って公式の番号にかけ直しましょう。
• 生年月日を使ったパスワードや暗証番号を変える：生年月日が漏れているので、誕生日の数字をパスワードや暗証番号にしている場合は、ほかのサービスも含めて変えておくと安心です。
• 同じパスワードの使い回しをやめる：H2O IDのパスワード漏えいは確認されていませんが、同じ週にはパスワード（ハッシュ化されたもの）の流出を発表したサービスもあります。お金や個人情報に直結するサービスから、別々のパスワードと二段階認証にしておきましょう。
• カードの利用明細を時々確認する：E-STORESでカードを使ったことがある人は、念のため身に覚えのない請求がないか見ておくと安心です。
• 問い合わせは発表文の窓口へ：フリーダイヤル0120-110-256または0120-369-089（午前10時〜午後8時）、またはお問い合わせフォーム。メールに書かれた電話番号やURLではなく、公式発表から確認した窓口を使ってください。

情報漏えいの報道（X）

産経ニュースは10月19日、阪急・阪神百貨店の予約サイト経由で約126万件の個人情報が漏えいし、クレジットカード情報の漏えいの有無も調べていると伝えました。発表によると、通販側で保持しているカード情報は番号の下4桁などの一部で、全桁とセキュリティコードは持っていません。

阪急・阪神百貨店も個人情報漏洩　予約サイト経由126万件　クレジットカードの漏洩調査https://t.co/f7jXL8e0IZ

ほぼ全ての「H2O ID」会員情報が漏洩したとみられるという。現時点で、不正利用や二次被害の発生は確認されていないとしている。

— 産経ニュース (@Sankei_news) October 19, 2026

阪急阪神百貨店の情報漏えいについてよくある質問

あわせて読みたい

出典・参考資料

• エイチ・ツー・オー リテイリング・阪急阪神百貨店：第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ（2026年10月19日）
• エイチ・ツー・オー リテイリング：グループ共通ID「H2O ID」が100万会員を突破（2026年9月9日）、H2O IDのサービス概要とパーソナルデータの取り扱い
• ファンケル：第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（10月16日）／日本経済新聞社：不正アクセスによる個人情報漏洩について（10月16日）
• NTTソルマーレ：コミックシーモア 第2報（10月16日）・第3報（10月18日）／パピレス：Renta！のサービス一時停止に関するお知らせ（10月19日）
• セカンドリテイリング：社内システムへの不正アクセスの発生について（10月17日）／Joshin：不正アクセスによるシステム障害発生のお詫びとお知らせ（10月17日・19日）／日本サッカー協会：JFA公式アプリ「JFA Passport」への不正アクセスについて（10月18日）
• 足利市：「足利市斎場予約システム」における不正アクセスに伴う個人情報の漏えいのおそれについて／リクルート：カーセンサーnetのサービス停止のお知らせ（サイト上の告知）
• ビューティガレージ・イエローハット・キリンホールディングスほか：TDnet 適時開示情報閲覧サービス（10月15〜19日の開示）
• e-Gov法令検索：個人情報の保護に関する法律（26条）、個人情報の保護に関する法律施行規則（7条・8条）

同じ週の12件の一覧と件数の合計、TDnetの開示件数は、各社・自治体の公式発表から当サイトが集計したものです。アイキャッチ写真：KishujiRapid／Wikimedia Commons（CC BY-SA 3.0）。トリミング・明るさ調整・文字入れあり。