■ BLACK OCTOBER

INCIDENT / 2026-10-19

阪急阪神百貨店 予約サイト経由の不正アクセスで約126万件の「H2O ID」個人情報が漏えい

HIGH / 高確認済み不正アクセス情報漏洩

阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店予約サイト」を経由して顧客管理システムに第三者が不正アクセスし、「H2O ID」約126万件の個人情報の一部が漏えいした。「HANKYU HANSHIN E-STORES」「Remo Order」でも不正アクセスが確認され、各サイトのシステムを停止した。

概要

エイチ・ツー・オー リテイリングは2026年10月19日、子会社の阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」への不正アクセスを発表した。10月16日、予約サイトを経由した顧客管理システムへの不正アクセスを確認し、同日中に不正な通信を遮断して予約サイトのシステム全体を停止した。翌17日には「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトのシステム全体を停止した。その後の調査で、10月19日に顧客管理システムで管理する「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明した。

経緯

経緯情報は未登録です。

原因

調査中予約サイトを経由した顧客管理システムへの不正アクセス

「阪急百貨店・阪神百貨店予約サイト」を経由して、第三者が顧客管理システムに不正アクセスした。侵入手口の詳細は記事に記載されていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

確認済み
影響を受けたユーザー数
1,260,000
サービス停止
あり
金銭的被害
不明
対象システム
阪急百貨店・阪神百貨店予約サイト、顧客管理システム、HANKYU HANSHIN E-STORES、Remo Order

漏洩した情報

  • 確認済みH2O ID会員の個人情報の一部

顧客管理システムで管理する「H2O ID」のうち約126万件の個人情報の一部が漏えいした。3サイトのシステム全体を停止した。

対応

不正アクセスを確認した10月16日のうちに外部からの不正な通信を遮断し、予約サイトのシステム全体を停止した。10月17日には「HANKYU HANSHIN E-STORES」と「Remo Order」のシステム全体も停止した。

  • 外部からの不正な通信の遮断
  • 予約サイトのシステム全体停止
  • HANKYU HANSHIN E-STORESおよびRemo Orderのシステム全体停止
  • 漏えい範囲の調査

教訓・対策

  • 共通ID基盤の顧客管理システムにつながる周辺サイトは、1つ侵害されると大量の会員情報漏えいにつながるため、サイト間の分離とアクセス制御が重要である

参考資料

  1. 「阪急百貨店・阪神百貨店予約サイト」に不正アクセス、約126万件の「H2O ID」個人情報が漏えい
    ScanNetSecurity公開日: 2026-10-30報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

エイチ・ツー・オー リテイリング株式会社

関連するインシデント

関連付けられたインシデントはありません。