「阪急から情報漏えいの案内が来たけど、自分も対象？」「通販で使ったカードは大丈夫？」
阪急阪神百貨店と親会社のエイチ・ツー・オー リテイリングは、2026年10月19日、予約サイトなどへの不正アクセスにより、共通会員ID「H2O ID」の約126万件の個人情報の一部が漏えいしたと発表しました。
気になるのは、自分に関係する話なのか、何が漏れたのか、そして通販がいつ使えるようになるかですよね。公式資料を読むと、漏えいが分かった会員情報と、漏えいの可能性を調べている通販側の情報は別です。原因や再開予定も含め、分けて整理します。
2026年10月19日の公式発表と、同日夕方に確認したサイト表示・X投稿をもとにしています。
阪急阪神百貨店の情報漏えい、対象者は？H2O ID会員のほぼ全員
対象は、ほぼ全てのH2O ID会員（約126万件）です。公式は、調査を続けているとしたうえで、会員の個人情報の一部が漏えいしたと説明しています。
「予約サイトが入口なら、予約した人だけの話？」と思いがちですが、発表の対象は予約利用者に限定されていません。H2O IDを持っている人は、今回の案内を確認しておきたい状況です。
H2O IDとは？阪急阪神百貨店の通販などで使う共通ID
H2O IDは、H2Oリテイリングが発行・管理し、グループの複数の会員サービスで共通して使うアカウントです。公式通販「HANKYU HANSHIN E-STORES」の会員メニューにも、「会員基本情報（H2O ID）」という項目があります。
独立したサービス名だと思っているとピンと来なくても、百貨店の通販や関連サービスを使う際に登録していた、ということはありそうです。手元の登録メールや、正規の会員情報の案内から確認してみてください。
ただし、店頭で一度買い物をした人や、グループのカードを持つ人が全員対象だ、と発表されたわけではありません。自分がH2O ID会員かどうかが、まず確認するポイントになります。
H2O IDの対象者への連絡は？メールが来ていなくても対象外とは限らない
会社は、H2O ID会員へメールで順次連絡するとしています。まだ届いていないことだけで、対象外と決めるのは早いですね。迷惑メールフォルダも含めて案内を確認し、不明な場合は後半にまとめた公式窓口へ問い合わせる方法があります。
阪急阪神百貨店で何が漏れた？H2O IDと通販側の情報を整理
「カード情報も全部流出した」とひとまとめにすると、発表と違ってしまいます。現時点の説明は次のとおりです。
| 区分 | 10月19日付の公式発表 |
|---|---|
| H2O IDの会員情報 | 約126万件の個人情報の一部について漏えいが判明 |
| E-STORES・Remo Orderの保有情報 | 注文履歴やカード情報の一部などの漏えいの可能性を調査中 |
| ログインパスワード | 漏えいは確認されていない |
| 不正利用・二次被害 | 本件に起因すると考えられる被害は、発表時点で確認されていない |
H2O IDで漏えいが判明した氏名・住所・電話番号など
漏えいが判明したのは、氏名・住所・電話番号などのH2O ID会員情報です。公式が挙げた項目は以下のとおり。
- H2O ID
- 氏名（姓名・漢字カナ）、性別
- メールアドレス
- 郵便番号、住所
- 携帯電話番号、電話番号
- 年齢、生年月日
- H2O IDでの利用サービス項目
パスワードの漏えいが確認されていなくても、連絡先などが含まれていることに不安を感じる人は多いはず。会社も、登録したメールアドレスや電話番号に、会社を装った連絡が来る可能性を注意喚起しています。
阪急阪神百貨店のクレジットカード・ポイント・注文履歴は？
「HANKYU HANSHIN E-STORES」と「Remo Order」では、注文履歴やカード情報の一部について、漏えいの可能性を調査中です。「持っている情報の一覧」であって、すべての流出が確定した一覧ではありません。
| 保有する情報 | 公式が示した範囲 |
|---|---|
| 商品注文履歴 | 商品注文履歴 |
| クレジットカード情報の一部 | カード種別、番号の下4桁、名義、有効期限 |
| ポイントカード情報の一部 | カード種別、番号の下4桁 |
| アドレス帳 | アドレス帳の情報 |
会社によると、クレジットカード番号の全桁とセキュリティコードは保持していません。そのため、保有するカード情報による不正利用のおそれはないと説明しています。ポイントカードも、保有ポイントが不正利用されるおそれはないとしています。
ただ、「カードの全桁を持っていない」という説明と、「ほかの個人情報も問題ない」という話は別です。カード関連の見出しだけで慌てる必要はありませんが、不審な連絡への注意は続けたいところ。
阪急阪神百貨店の情報漏えいの原因は？予約サイト経由の不正アクセス
公式が明らかにしているのは、予約サイトを経由して、顧客管理システムへ不正アクセスされたという経路です。10月16日に確認し、その日のうちに不正な通信を遮断して、予約サイトのシステム全体を止めました。
翌17日には、E-STORESとRemo Orderでも不正アクセスを確認。両サイトも同日にシステム全体を停止しています。
阪急阪神百貨店の攻撃手法・攻撃者は判明している？
10月19日付の発表では、詳しい攻撃手法や攻撃者は公表されていません。会社は、原因究明とセキュリティの弱点の解析・調査を進めているとしています。
つまり、「どのサイトを経由したか」は分かっていますが、「どの弱点を、どんな方法で突かれたか」まで確定した説明はありません。ランサムウェア被害や、特定の国・集団による攻撃と決め付けられる段階ではない、ということです。
SNSでは他社で相次ぐ不正アクセスとの関係を気にする声も見られました。ただ、今回の公式発表には、他社の事案と共通する攻撃だという説明はありません。発生時期が近いことと、原因が同じことは分けて見ておきましょう。
阪急阪神百貨店の不正アクセス発覚から公表までの経緯
| 日付 | 確認・対応したこと |
|---|---|
| 10月16日（金） | 予約サイト経由の顧客管理システムへの不正アクセスを確認。不正通信を遮断し、予約サイトのシステム全体を停止 |
| 10月17日（土） | E-STORES・Remo Orderでも不正アクセスを確認。両サイトのシステム全体を停止 |
| 10月19日（月） | H2O ID約126万件の個人情報の一部漏えいが判明し、公表 |
会社は個人情報保護委員会への報告と、警察への被害申告も行っています。同じ手口による新たな被害・影響の拡大を防ぐ措置は完了したとしていますが、詳細な調査は続いています。
阪急阪神百貨店の通販はいつ再開？E-STORES・予約サイトの停止状況
10月19日付の発表では、具体的な再開日時はまだ公表されていません。原因の究明とセキュリティの弱点の修正を行い、安全を確認してから再開し、その際はホームページで知らせる方針です。
- 阪急百貨店・阪神百貨店予約サイト：10月16日にシステム全体を停止
- HANKYU HANSHIN E-STORES：10月17日にシステム全体を停止
- Remo Order：10月17日にシステム全体を停止
一方、当サイトで19日夕方に確認した時点では、E-STORESのトップや総合TOPは表示され、今回のお詫びへの案内も掲載されていました。ただし、ページが見えるだけでは、ログイン・注文・決済まで通常どおり使えることの確認にはなりません。ここでは「通販が全面再開した」とは扱っていません。
また、今回発表されたのはオンラインサービスの問題です。これだけを根拠に、阪急・阪神の百貨店が全店休業していると考える必要はありません。
阪急阪神百貨店で注文済みの商品・予約はどうなる？
注文済み商品の発送・予約の扱い・キャンセルや返金の詳細も、確認したお詫び資料には記載がありません。「注文が全部取り消される」「予定どおり必ず届く」と、どちらにも言い切れない状況です。
すでに注文・予約がある人は、受付メールや注文番号を手元に残しておき、届く個別案内を確認してください。受け取り日が近いなど、急ぎで確認したい場合は、今回の問い合わせ窓口で事情を伝えるのがよさそうです。
阪急阪神百貨店の情報漏えい、Xの反応は？対象か不安という声も
19日のYahoo!リアルタイム検索や報道投稿への返信では、通販を使ったことがあり案内メールが届いたという投稿のほか、「H2O IDはアプリで登録したIDのこと？」「自分も登録したので不安」という反応が見られました。
サービス名だけでは、自分の会員登録と結び付きにくい人もいるようです。ほかの企業の漏えい報道も続くなか、原因の説明や今後の案内を求める声もありました。
もちろん、これは確認できた投稿の一部。SNSの書き込みだけで個々の人の被害を確定したり、原因を特定したりはできません。自分への案内と、会社が確認した事実を照らし合わせて見たいですね。
H2O IDの案内メール・問い合わせ先は？阪急阪神百貨店が呼びかける注意点
会社が案内している通知メールの送信元は、noreply@h2o-retailing.co.jpです。これ以外の送信元からの連絡や、身に覚えのないメール・SMS・電話、不審なURLには注意するよう求めています。
ただし、送信者の表示が同じというだけで、安全なメールだとは判断しないでください。急にカード番号や認証コードの入力を求められたら、その場で操作を進めず、普段使っている公式サイトの案内などから内容を確かめましょう。
| 今回の問い合わせ窓口 | 公式発表の案内 |
|---|---|
| フリーダイヤル | 0120-110-256 または 0120-369-089 |
| 受付時間 | 各日 午前10時〜午後8時 |
| フォーム | H2O ID公式サイトの「お問い合わせ」 |
| 会員への連絡方法 | メールで順次連絡 |
現時点で二次被害が確認されていないという発表は、今後も必ず何も起きないという意味ではありません。とはいえ、不安につけ込む連絡に急いで応じるのも避けたいところ。まずは登録の有無と正規の案内を、ひとつずつ確認していきましょう。
猫のひとこと
買い物したかっただけなのに、こんな確認まで増えるのは困るよな。
でも、慌てて知らないリンクを押すなよ。急かしてくる相手ほど、いったん待たせとけ。
参考：エイチ・ツー・オー リテイリング・阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日、全3ページ）、H2Oリテイリング「H2O IDのサービス概要とパーソナルデータの取り扱い」、HANKYU HANSHIN E-STORESのサイト表示、産経ニュースの同日投稿、Yahoo!リアルタイム検索で確認した関連投稿。漏えいが確認された情報と調査中の情報を区別して記載しています。アイキャッチはAIによるイメージで、実際の画面・設備・被害状況を写したものではありません。
猫のひとこと
「予約した覚えないし」で閉じるのは、ちょっと待て。
通販で登録してないか、そこだけは確認しとけよ。