2026年10月19日、阪急阪神百貨店が運営する複数のサービスで第三者による不正アクセスが発生し、約126万件の「H2O ID」会員情報の一部が漏えいしたことが発表されました。
運営会社のエイチ・ツー・オー リテイリングによると、氏名や住所、メールアドレス、電話番号、生年月日などが対象で、ほぼすべてのH2O ID会員の個人情報の一部が漏えいしたと説明しています。
さらに、公式通販サイトなどが保持するクレジットカード情報の一部や注文履歴、ポイントカード情報についても、漏えいの可能性を調査しています。
気になるのは、H2O IDを登録している人は全員対象なのか、阪急阪神百貨店アプリやペルソナSTACIAカードの利用者にも影響があるのか、カードやポイントは安全なのかという点ではないでしょうか。
この記事では、約126万件の情報漏えいの対象者、流出した個人情報、クレジットカードやSポイントへの影響、各サービスの復旧状況、利用者への案内などを整理します。
阪急阪神百貨店で約126万件の情報漏えいが判明
阪急阪神百貨店の親会社であるエイチ・ツー・オー リテイリングは、2026年10月19日、同社グループが提供する3つのサービスで不正アクセスが発生し、会員情報の一部が漏えいしたと発表しました。
不正アクセスが確認されたのは「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」の3つです。
このうち予約サイトを経由して顧客管理システムに不正アクセスが行われ、共通会員IDである「H2O ID」の情報約126万件の漏えいが判明しました。
まずは、公式発表で確認できた内容をまとめます。
| 項目 | 発表内容 |
|---|---|
| 発表日 | 2026年10月19日 |
| 発表企業 | エイチ・ツー・オー リテイリング、阪急阪神百貨店 |
| 漏えい件数 | 約126万件 |
| 対象 | ほぼすべてのH2O ID会員 |
| 流出した情報 | 氏名、住所、メールアドレス、電話番号、生年月日など |
| カード情報・注文履歴 | 一部情報の漏えい可能性を調査中 |
| ログインパスワード | 漏えいは確認されていない |
| 不正利用・二次被害 | 発表時点では確認されていない |
| 原因 | 第三者による不正アクセス。詳細は調査中 |
今回の件で重要なのは、H2O IDの会員情報については実際に漏えいが判明している一方、通販サイトなどが保持するカード情報や注文履歴については、まだ調査中という違いです。
また、公式発表では約126万「件」とされており、重複を除いた人数が126万人と確定しているわけではありません。
現時点で判明している情報と、今後の調査が必要な情報を分けて確認していきます。
約126万件の情報漏えいはいつ発生したのか？
今回の不正アクセスが最初に確認されたのは、2026年10月16日（金）です。
阪急阪神百貨店は、イベントや各種サービスの申し込みに使われる「阪急百貨店・阪神百貨店予約サイト」を経由して、顧客管理システムへの第三者による不正アクセスが行われたことを確認しました。
同日、不正な通信を遮断するなどの緊急措置を実施し、予約サイトのシステム全体を停止しています。
翌17日（土）には、公式通販サイト「HANKYU HANSHIN E-STORES」とリモートショッピングサービス「Remo Order」でも不正アクセスが確認され、両サービスが停止されました。
その後の調査で、10月19日（月）にH2O ID会員約126万件の個人情報の一部が漏えいしたことが判明し、同日正式に公表されています。
また、両社は個人情報保護委員会への報告と所轄警察署への被害申告を実施したことも明らかにしています。
ただし、10月16日以前から不正アクセスが行われていたのか、どのような手口で侵入されたのかについては、現時点では詳しく分かっていません。
H2O IDとは？情報漏えいの対象者は誰なのか？
今回の情報漏えいで対象となった「H2O ID」とは、エイチ・ツー・オー リテイリングが提供する共通会員IDです。
ひとつのアカウントでグループの複数のサービスを利用できる仕組みで、阪急阪神百貨店の公式通販サイトやアプリ、各種予約サービスなどで使用されています。
公式発表では、ほぼすべてのH2O ID会員の個人情報の一部が漏えいしたと説明されています。
ここで注意したいのは、今回不正アクセスを受けた予約サイトを直接利用していなくても、H2O IDに登録している人は対象に含まれる可能性があるという点です。
予約サイトへの不正アクセスを通じて、複数サービスで共通利用される会員情報を管理するシステムが影響を受けたためです。
一方、H2O IDを作成したことがない人や、阪急百貨店・阪神百貨店の実店舗で買い物をしただけの人については、今回の約126万件の対象者だと断定することはできません。
また、以前登録していた会員や退会済みの利用者がどのように扱われるのか、個人ごとの漏えい項目に違いがあるのかといった詳細も確認できていません。
H2O IDの登録状況が分からない場合は、過去に受け取った会員登録メールなどを確認する方法があります。ただし、登録していたとしても、自分の情報のどの項目が漏えいしたかまで判明するわけではありません。
なお、運営会社はH2O ID会員に対し、電子メールで順次案内を行うと発表しています。
漏れた個人情報は何？注文履歴も対象なのか？
10月19日の公式発表では、予約サイトを経由した不正アクセスによって、H2O ID会員の個人情報の一部が漏えいしたと説明されています。
対象となる情報には、次の項目が含まれています。
・H2O ID
・氏名（漢字・カナ）
・性別
・メールアドレス
・郵便番号、住所
・携帯電話番号、電話番号
・年齢、生年月日
・H2O IDでの利用サービス項目
これらは、約126万件のH2O ID会員情報について、公式に漏えいが判明したと説明されている項目です。
一方、HANKYU HANSHIN E-STORESとRemo Orderでは、商品注文履歴やカード情報、アドレス帳なども保持していますが、これらが実際に漏えいしたかどうかについては調査が続いています。
確認済みの情報と調査中の情報を整理すると、以下のようになります。
| 情報の種類 | 確認状況 |
|---|---|
| H2O ID、氏名、住所、電話番号など | 漏えい判明 |
| 性別、年齢、生年月日 | 漏えい判明 |
| H2O IDでの利用サービス項目 | 漏えい判明 |
| 商品注文履歴 | 調査中 |
| カード番号の下4桁、名義、有効期限など | 調査中 |
| ポイントカード番号の下4桁など | 調査中 |
| アドレス帳の情報 | 調査中 |
| ログインパスワード | 漏えいは確認されていない |
| カード番号全桁・セキュリティコード | 会社は保持していないと説明 |
特に、通販サイトでの注文履歴やアドレス帳の情報については、購入した商品の内容や配送先など、利用者の生活に関わる情報が含まれる可能性があります。
ただし、現時点ではそれらの情報が外部に流出したと確認されたわけではありません。
約126万件の会員情報の漏えいと、通販サービスが保持する情報の漏えい可能性は、分けて考える必要があります。
今後の調査によって、新たな流出項目や対象範囲が明らかになる可能性があります。
クレジットカード番号やパスワードは漏れたのか？
クレジットカード情報については、HANKYU HANSHIN E-STORESとRemo Orderが保持する情報の一部に漏えいの可能性があり、調査が進められています。
両サービスが保持しているカード情報は、カード種別、カード番号の下4桁、カード名義、有効期限です。
一方、阪急阪神百貨店は決済情報の非保持化に対応しており、クレジットカード番号の全桁とセキュリティコードは一切保持していないと発表しています。
このため、会社は今回保持しているカード情報によって不正利用される恐れはないと説明しています。
ただし、カード番号の下4桁や名義、有効期限などの情報そのものが漏えいしていないと確定したわけではありません。これらの情報については、引き続き調査中です。
また、ログインパスワードについては漏えいが確認されていません。
10月19日の発表時点では、今回の不正アクセスに起因すると考えられる不正利用や二次被害も確認されていないとしています。
つまり、現時点では、カード番号全桁やセキュリティコードが流出したという発表はなく、ログインパスワードの漏えいも確認されていません。
ただし、氏名や生年月日、住所、メールアドレスなどが漏えいしたことは判明しているため、カードの不正利用だけでなく、本人になりすました不審な連絡などにも注意が必要です。
ペルソナSTACIAカードやSポイントへの影響は？
阪急百貨店や阪神百貨店では、ペルソナSTACIAカードやSポイントカードなどを利用している人も多く、今回の不正アクセスによってポイントが使われてしまうのではないかと心配する人もいるかもしれません。
公式発表によると、HANKYU HANSHIN E-STORESとRemo Orderが保持しているポイントカード情報は、カードの種類とカード番号の下4桁です。
カード番号の全桁を保持しているわけではないため、会社はこれらの情報によって保有ポイントを不正利用される恐れはないと説明しています。
ただし、ポイントカード情報の一部が実際に漏えいしたかどうかについては調査中です。現時点で、ポイントが盗まれたり、不正に使用されたりしたと確認されているわけではありません。
また、ペルソナSTACIAカードやSポイントカードを持っている人が、必ず今回のH2O ID会員情報の漏えい対象に含まれるとは限りません。
H2O IDは共通会員アカウントであり、カードの保有とは別の仕組みです。カードを所有しているだけでH2O IDに登録していない場合、その事実だけでは対象者とは判断できません。
一方、カードをH2O IDと連携して使用している場合は、H2O ID会員として今回の対象に含まれる可能性があります。
なお、ペルソナSTACIAカードはクレジットカード機能を持つものもありますが、今回の発表だけでカード自体の決済システムが不正アクセスを受けたと判断することはできません。
ポイントの利用状況やカードの明細に身に覚えのない動きがあれば、カード発行会社などの正規窓口に確認してください。
阪急阪神百貨店アプリの利用者も対象なのか？
2026年9月30日にサービスを開始した「阪急阪神百貨店アプリ」の利用者も、今回の情報漏えいと関係する可能性があります。
このアプリは、H2O IDでログインし、阪急阪神お得意様カードPREMIUM、ペルソナSTACIAカード、S STACIAカード、阪急阪神百貨店のSマーク付きポイントカードなどを連携できる仕組みです。
アプリ内では、買い物金額に応じたカスタマープログラムやデジタルSポイントカードなどの機能も利用できます。
今回の漏えい対象は、ほぼすべてのH2O ID会員と発表されているため、阪急阪神百貨店アプリでH2O IDを登録・利用している人も対象に含まれる可能性があります。
ただし、アプリ自体が不正アクセスを受けたと発表されているわけではありません。また、アプリに表示されるすべてのカード情報や買い物履歴が流出したと確認されたわけでもありません。
今回の件では、共通IDで管理されている会員情報の漏えいが判明したことと、個別のアプリやカードに保存されている情報への影響を区別する必要があります。
アプリで使用しているH2O IDが今回の対象に含まれるか心配な場合は、運営会社からの案内や公式発表を確認してください。
アプリの登録方法やカード連携の仕組みは、阪急阪神百貨店アプリの公式ご利用ガイドでも確認できます。
予約サイト・通販サイト・Remo Orderは再開した？
今回、不正アクセスが確認された3つのサービスは、10月16日から17日にかけて一時停止されました。
ただし、2026年10月20日時点では、すべてのサービスが停止したままというわけではありません。
公式通販サイト「HANKYU HANSHIN E-STORES」は、10月19日14時に再開しています。
阪急阪神百貨店は、再発防止策と安全確認が完了したとして、サイトを再開したと発表しました。
一方、阪急百貨店・阪神百貨店予約サイトについては、公式ページでシステム障害による休止が案内されています。また、Remo Orderについても、10月20日時点で再開を知らせる公式発表は確認できていません。
それぞれの状況を整理すると、以下のようになります。
・阪急百貨店・阪神百貨店予約サイト：10月16日から停止。再開未確認
・HANKYU HANSHIN E-STORES：10月17日から停止し、19日14時に再開
・Remo Order：10月17日から停止。再開未確認
なお、HANKYU HANSHIN E-STORESが再開したことと、情報漏えいに関する調査がすべて終了したことは別です。注文履歴やカード情報の一部については、引き続き漏えいの可能性が調べられています。
また、今回の公式発表では、阪急百貨店・阪神百貨店の実店舗について営業停止が発表されたわけではありません。
各サービスの利用状況は変更される可能性があるため、最新情報は阪急百貨店の「大切なお知らせ」などで確認してください。
不正アクセスの原因と被害の状況は？
今回の情報漏えいは、第三者が予約サイトを経由して顧客管理システムへ不正アクセスしたことが発端となっています。
さらに、公式通販サイトとRemo Orderでも不正アクセスが確認されましたが、具体的な侵入経路や悪用されたシステムの脆弱性については、現時点で詳細が明らかになっていません。
両社は、原因の究明とセキュリティ上の問題点について調査を進めており、新たな事実が判明した場合はホームページなどで公表するとしています。
また、今回の不正アクセスがランサムウェア攻撃だったのか、どのような攻撃者によるものなのかについても、公式発表では確認できません。
現時点で、今回の件による不正利用や二次被害の発生は確認されていないと説明されています。
ただし、氏名や住所、生年月日、電話番号などの情報が漏えいしているため、今後、会員を狙った不審な連絡やなりすましなどへの警戒は必要です。
運営会社は安全確認や再発防止策を進め、停止中のサービスについては安全性が確認され次第、再開する方針です。
対象者へのメール通知と問い合わせ先
エイチ・ツー・オー リテイリングと阪急阪神百貨店は、今回の情報漏えいについて、H2O ID会員へ電子メールで順次連絡すると発表しています。
公式発表で案内されている送信元メールアドレスは、以下のとおりです。
noreply@h2o-retailing.co.jp
ただし、メールの送信元アドレスは偽装される可能性もあるため、このアドレスが表示されていれば必ず安全というわけではありません。
メールに不審なURLや添付ファイルが含まれている場合は、安易に開かず、公式サイトから情報を確認してください。
また、10月19日の発表では、今回の件に関する専用の問い合わせ窓口も案内されています。
【不正アクセス・情報漏えいに関する問い合わせ先】
フリーダイヤル：0120-110-256
フリーダイヤル：0120-369-089
受付時間：各日10時～20時
問い合わせフォーム：H2O ID公式問い合わせページ
なお、10月20日時点では、会員が自分の情報の漏えい状況を個別に照合できる専用ページは確認できていません。
自分が対象者なのか、どの情報が漏れたのかといった疑問がある場合は、運営会社の案内を確認し、必要に応じて公式窓口へ問い合わせてください。
利用者が今注意すべきこと
今回の情報漏えいでは、氏名や住所、メールアドレス、電話番号、生年月日など、本人を特定する手掛かりになる情報が対象となっています。
そのため、今後は阪急阪神百貨店やH2O IDの運営会社を装ったメール、SMS、電話などに注意する必要があります。
例えば、会員情報の確認やカードの再登録、ポイントの復旧手続きなどを理由に、偽サイトへ誘導する手口が考えられます。ただし、こうした具体的な詐欺が今回すでに発生しているという意味ではありません。
利用者が現時点でできる対応は、次のとおりです。
・不審なメールやSMSに記載されたURLを安易に開かない
・H2O IDやカード情報の確認は公式サイトから行う
・不審なサイトでパスワードやカード番号を入力しない
・クレジットカードやポイントの利用履歴に不審な動きがないか確認する
・身に覚えのない請求や不審な連絡があれば正規窓口へ相談する
なお、今回の公式発表ではログインパスワードの漏えいは確認されていません。現時点で、今回の件を理由にすべての会員がパスワード変更を義務付けられているという発表もありません。
ただし、同じパスワードを複数のサービスで使い回している場合は、今回の件とは別に、サービスごとに異なるパスワードを設定することが安全対策になります。
今回確認されているのは会員の個人情報の一部の漏えいであり、カードの不正利用やポイントの盗難が発生したと確認されているわけではありません。
不確かな情報をそのまま信じず、運営会社の公式発表を確認しながら対応することが大切です。
阪急阪神百貨店の約126万件情報漏えいまとめ
2026年10月19日、エイチ・ツー・オー リテイリングと阪急阪神百貨店は、第三者による不正アクセスで約126万件のH2O ID会員情報の一部が漏えいしたと発表しました。
対象にはほぼすべてのH2O ID会員が含まれ、氏名、住所、メールアドレス、電話番号、生年月日などの情報が漏えいしています。
一方、HANKYU HANSHIN E-STORESとRemo Orderが保持する注文履歴やカード情報の一部、ポイントカード情報、アドレス帳などについては、漏えいの可能性を引き続き調査中です。
クレジットカード番号の全桁とセキュリティコードは保持していないと説明されており、ログインパスワードの漏えいも確認されていません。
また、公式通販サイト「HANKYU HANSHIN E-STORES」は10月19日14時に再開しましたが、予約サイトやRemo Orderについては再開の公式発表が確認できていません。
今回の情報漏えいで最も注意したいのは、予約サイトを利用していない人でも、H2O IDに登録していれば対象に含まれる可能性があるという点です。
阪急阪神百貨店アプリやポイントカードを利用している人も、H2O IDの登録状況を確認し、不審なメールやSMSなどに注意する必要があります。
今後は、通販サイトが保持する情報の漏えい有無、不正アクセスの詳しい原因、停止中のサービスの再開時期などについて、追加発表が行われるかが注目されます。
主な参考資料と確認日
情報確認日：2026年10月20日。エイチ・ツー・オー リテイリング、阪急阪神百貨店の公式発表、H2O IDおよび阪急阪神百貨店アプリの公式案内を確認しています。約126万件のH2O ID会員情報の漏えいは判明していますが、通販サイトの注文履歴やカード情報の一部、ポイントカード情報、アドレス帳などへの影響は調査中です。停止中のサービスの復旧状況や対象者への対応についても、今後の公式発表により更新される可能性があります。
- エイチ・ツー・オー リテイリング／阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日）
- 阪急阪神百貨店「HANKYU HANSHIN E-STORES再開のお知らせ」（2026年10月19日）
- エイチ・ツー・オー リテイリング「ニュースリリース一覧」
- エイチ・ツー・オー リテイリング「H2O ID公式サイト」
- 阪急阪神百貨店「アプリご利用ガイド」
- 阪急阪神百貨店「アプリ・カスタマープログラム」
- 阪急百貨店・阪神百貨店予約サイト「メンテナンスのお知らせ」
- H2O ID「公式お問い合わせフォーム」
- ITmedia ビジネスオンライン「阪急・阪神百貨店、126万件の情報流出 クレカ情報の一部漏えいの可能性も」（2026年10月20日）
- FNNプライムオンライン「阪急阪神百貨店に不正アクセス H2O ID会員の個人情報約126万件が漏えいのおそれ」（2026年10月20日）
コメント