阪急阪神百貨店に不正アクセス、自分は対象？H2Oの情報漏洩【10月30日第2報】

Q: 阪急阪神百貨店の不正アクセス（2026年）とH2O リテイリングの情報漏洩は同じ件ですか？

同じ件です。エイチ・ツー・オー リテイリングと阪急阪神百貨店が、2026年10月19日に「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」を、10月30日に「第三者による不正アクセス発生について（第2報）」を、それぞれ連名で公表しています。予約サイトなどへの不正アクセスで、「H2O ID」の約126万件の個人情報の一部が漏えいしたことが判明したという内容です。2026年11月9日確認時点で、第3報は出ていません。

2026年10月20日2026年11月9日

「2026年に阪急阪神百貨店が不正アクセスを受けて情報漏洩（情報漏えい）があったらしいけれど、自分も対象？」「H2O リテイリングの情報漏洩と同じ件？」「H2O IDのパスワードやクレジットカードは大丈夫？」「阪急阪神百貨店から届いたメールは本物？」と気になっている方に向けて、公式発表に書かれていることだけを整理しました。内容は、エイチ・ツー・オーリテイリング株式会社と株式会社阪急阪神百貨店が2026年10月19日に公表した「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」の原文と、その後に阪急百貨店・阪神百貨店の公式サイトに掲載されたお知らせ（10月20日の「H2O ID」を騙る不審メールへの注意喚起、10月24日の「HANKYU HANSHIN E-STORES」と阪急阪神百貨店アプリの緊急メンテナンス）、10月30日の第2報、10月30日のアプリ再開、11月3日のオンラインショップ・予約サイトの休止のお知らせを、2026年11月4日に確認したものです（2026年11月9日に、新しい続報が出ていないことを再確認）。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。

【結論】エイチ・ツー・オーリテイリング（H2O リテイリング）と阪急阪神百貨店は2026年10月19日、「阪急百貨店・阪神百貨店予約サイト」などへの第三者による不正アクセスで、グループ共通の会員ID「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明したと公表しました。

公式発表は「現在調査中ですが、ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました」としています。項目は H2O ID・氏名・性別・メールアドレス・郵便番号・住所・携帯電話番号・電話番号・年齢・生年月日・H2O IDでの利用サービス項目
10月30日の第2報で、予約サイトの入力フォーム記載内容（参加者などの申し込み情報を含む）6,243件の漏えいが新たに判明。「HANKYU HANSHIN E-STORES」「Remo Order」の「お客さま情報」は「外部への漏えいは確認されませんでした」。ログインパスワードの漏えいは確認されていない
H2O ID会員には電子メールで順次連絡。案内の送信元は＜noreply@h2o-retailing.co.jp＞。第2報の問い合わせ先はフリーダイヤル 0120-220-693・0120-600-213・0120-213-940（各日午前10時〜午後8時）とメール hhd-callcenter@hankyu-hanshin-dept.jp
10月20日、阪急阪神百貨店は「H2O ID」を騙る詐欺メールが確認されているとして注意を呼びかけました。阪急阪神百貨店アプリは10月30日に再開。E-STORES・阪急・阪神ギフトモール・Remo Order・予約サイトは、11月3日時点で「システム緊急点検ならびに調査」のため休止中です（2026年11月9日確認時点で、第3報や再開のお知らせは出ていません）

📋 2026年国内の情報漏えい・サイバー攻撃一覧（毎日更新）

公式発表のあった事案を508件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。

直近の公表:

漏えいした企業・サービスを全件チェックする →

阪急阪神百貨店への不正アクセス（2026年）で何が起きた？

この件は、エイチ・ツー・オーリテイリング（H2O リテイリング）と阪急阪神百貨店が、連名で公表したものです。「H2O リテイリングの情報漏洩」と「阪急阪神百貨店の不正アクセス」は、同じ発表を指しています。公表の流れは次のとおりです。

2026年10月16日・17日：「阪急百貨店・阪神百貨店予約サイト」、続いて「HANKYU HANSHIN E-STORES」「Remo Order」への不正アクセスを確認し、各サイトを停止
2026年10月19日：「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」を公表。グループ共通の会員ID「H2O ID」の約126万件で個人情報の一部の漏えいが判明
2026年10月30日：「第三者による不正アクセス発生について（第2報）」を公表。予約サイトの入力フォーム記載内容 6,243件の漏えいが新たに判明、E-STORES・Remo Orderの「お客さま情報」は外部への漏えいが確認されず
2026年11月3日：E-STORES・阪急・阪神ギフトモール・Remo Order・予約サイトを「システム緊急点検ならびに調査」のため休止

原因について公式発表は「現在、詳細な原因究明およびセキュリティ脆弱性の解析・調査を進めております」としていて、手口は公表されていません。2026年11月9日に確認した時点で、エイチ・ツー・オーリテイリングのニュースリリース一覧と阪急百貨店の公式サイトの「大切なお知らせ」には、第3報やサービス再開のお知らせは出ていません。

自分は対象？公式発表でわかること早見表

公式発表は、経由したサイトごとに2つに分けて書いています。「阪急百貨店・阪神百貨店予約サイト経由」はH2O ID会員の情報の漏えいが判明したもの、「HANKYU HANSHIN E-STORES / Remo Order経由」は漏えいの可能性を調査中としていたもので、10月30日の第2報で「外部への漏えいは確認されませんでした」とされました。

知りたいこと	公式発表に書かれていること
対象	「H2O ID」会員（約126万件）。「現在調査中ですが、ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました」
不正アクセスがあったサイト	「阪急百貨店・阪神百貨店予約サイト」（10月16日に確認）、「HANKYU HANSHIN E-STORES」と「Remo Order」（10月17日に確認）
漏えいの状況	予約サイト経由：H2O IDの約126万件で漏えいが判明（10月19日）。第2報（10月30日）で、予約サイトの入力フォーム記載内容 6,243件（予約総数188,590件のうち3％相当）の漏えいも判明／E-STORES・Remo Order経由：第2報で「外部への漏えいは確認されませんでした」
対象者への知らせ方	「H2O ID 会員の皆さまに電子メールにて順次ご連絡」。送信元は＜noreply@h2o-retailing.co.jp＞
まだメールが来ない場合	公式発表に記載なし（「順次」とあり、送り終える時期の記載もなし）
退会済みの人・H2O IDを作っていない人	公式発表に記載なし
自分が対象かを調べるページ	公式発表に記載なし（照会ページの案内はない）
H2O IDを騙るメール	10月20日、阪急阪神百貨店が「弊社「H2O ID」を騙る不審メールにご注意ください」を掲載（詐欺メールが確認されていると注意喚起）
E-STORES・アプリの状況	阪急阪神百貨店アプリは10月30日に再開（予約・ショッピングなど一部機能は使えない）。11月3日のお知らせでは、E-STORES・阪急・阪神ギフトモール・Remo Order・予約サイトを「システム緊急点検ならびに調査」のため休止
問い合わせ先	第2報の「本件に関するお客さま専用お問い合わせ先」：フリーダイヤル 0120-220-693・0120-600-213・0120-213-940（受付各日午前10時〜午後8時）／お問い合わせアドレス hhd-callcenter@hankyu-hanshin-dept.jp。10月19日のお知らせでは特設コールセンター 0120-110-256・0120-369-089 とお問い合わせフォームが案内されていた

お知らせは、エイチ・ツー・オーリテイリング「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（報道関係者向け・PDF）と、阪急阪神百貨店のお客様向けのお知らせ（阪急百貨店の公式サイト掲載分（PDF）・阪神百貨店の公式サイト掲載分（PDF））として掲載されています。内容は同じです。

H2O IDとは？どのサービスで使うID？

H2O IDは、エイチ・ツー・オーリテイリングが提供する、ひとつのアカウントでグループの複数のサービスを使える会員サービスです。H2O ID「よくあるご質問」には、H2O IDで利用できるサービスとして次の5つが挙げられています。これらのサービスにH2O IDでログインしている人は、H2O IDを持っていることになります。

HANKYU HANSHIN E-STORES（Remo Orderを含む）
阪急・阪神ギフトモール
阪急百貨店・阪神百貨店予約サイト
阪急阪神百貨店アプリ
まちうまアプリ

公式発表の対象は「ほぼ全ての「H2O ID」会員」です。H2O IDを登録している人の大半が含まれる書き方ですが、自分が対象かどうかを個別に調べるページは案内されていません。届いたメールか、本件の問い合わせ先で確かめてください。

問い合わせは第2報の専用フリーダイヤルかメールへ

10月30日の第2報は、「本件に関するお客さま専用お問い合わせ先」として、フリーダイヤル0120-220-693、0120-600-213、0120-213-940（受付時間各日午前10時から午後8時まで）と、お問い合わせアドレスhhd-callcenter@hankyu-hanshin-dept.jpを挙げています（エイチ・ツー・オーリテイリング・阪急阪神百貨店「第三者による不正アクセス発生について（第2報）」）。10月19日のお知らせでは「阪急阪神百貨店特設コールセンター」（0120-110-256 または 0120-369-089）とH2O ID「お問い合わせ」フォームが案内されていました。第2報には、これらの番号とフォームについての記載はありません。

電話番号やフォームのURLは、メールやSMSに書かれたものではなく、この公式発表に書かれたものを使ってください。

何が漏れた？公表された項目と件数

公式発表の見出しは「漏えいした可能性があるお客さま情報」ですが、その中で、予約サイト経由のH2O IDについては「ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました」と漏えいしたと書いています。一方、E-STORES・Remo Order経由については「漏えいの可能性については現在調査中」で、漏えいしたとは書かれていません。10月30日の第2報は、E-STORES・Remo Orderについて「第1報でお知らせしておりました「お客さま情報」の外部への漏えいは確認されませんでした」とし、予約サイトについて「新たに、予約サイトの入力フォーム記載内容（参加者などのお申し込み情報を含む）が、6,243件（予約総数188,590件のうち3％相当）漏えいしていたことが判明いたしました」としています。

経由したサイト	状況（公式の表現）	情報
阪急百貨店・阪神百貨店予約サイト経由	H2O ID会員（約126万件）。「ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました」	H2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでのご利用サービス項目
HANKYU HANSHIN E-STORES / Remo Order経由	「漏えいの可能性については現在調査中ですが、同サービスでは以下の情報を保持しております」	商品注文履歴／クレジットカード情報の一部（カード種別、カード番号の下4桁、名義、有効期限）／ポイントカード情報の一部（ポイントカード種別、カード番号の下4桁）／アドレス帳の情報。第2報で「外部への漏えいは確認されませんでした」
阪急百貨店・阪神百貨店予約サイト（第2報で新たに判明）	「予約サイトの入力フォーム記載内容（参加者などのお申し込み情報を含む）が、6,243件（予約総数188,590件のうち3％相当）漏えいしていた」	入力フォームの記載内容（参加者などの申し込み情報を含む）。具体的な項目は第2報に記載なし

H2O IDの約126万件：生年月日や携帯電話番号も

H2O IDの項目は11あり、氏名は「姓名・漢字カナ」と書かれています。住所・郵便番号に加えて、携帯電話番号と電話番号、年齢・生年月日も含まれています。「H2O IDでのご利用サービス項目」は、H2O IDでどのサービスを使っているかの情報です。項目の中にパスワードは挙げられていません。

クレジットカード：保持していたのは下4桁・名義・有効期限など（第2報で漏えいは確認されず）

クレジットカード情報が出てくるのは、E-STORES・Remo Order経由の「保持している情報」の中だけで、10月30日の第2報で、E-STORES・Remo Orderの「お客さま情報」の外部への漏えいは確認されなかったとされています。保持している項目は「カード種別、カード番号の下4桁、名義、有効期限」で、公式発表は「当社では決済情報の非保持化に対応しており、クレジットカード番号全桁およびセキュリティコードは一切保持しておりませんので、不正に利用されるおそれはございません」としています。

ポイントカードについても、保持しているのは「ポイントカード種別、カード番号の下4桁」で、「保有ポイントを不正に利用されるおそれはございません」と書かれています。

パスワード：「漏えいも確認されておりません」

公式発表には「ログインパスワードの漏えいも確認されておりません」と書かれています（E-STORES・Remo Orderの項目の注記として記載）。H2O IDの漏えい項目の一覧にもパスワードはありません。また、10月19日の公式発表は「現時点において、本件に起因すると考えられる不正利用や二次被害の発生は確認されておりません」としています。翌10月20日に阪急阪神百貨店が掲載した不審メールへの注意喚起は、詐欺メールが確認されているとしていますが、本件との関係には触れていません（次の章を参照）。

漏れた項目ごとに気をつけたい連絡

公式発表は「本件で対象となっている「H2O ID」にご登録いただいたメールアドレスや電話番号宛に、当社を装った不審なメール、SMS、お電話等が行われる可能性がございます」と案内しています。項目ごとに整理すると次のとおりです（「公式」と書いたもの以外は一般的な注意点です）。

項目	考えられる連絡	注意すること
メールアドレス	阪急阪神百貨店などを装った不審なメール（公式）	送信元が＜noreply@h2o-retailing.co.jp＞以外のものは注意（公式）。本文のリンクからログインや情報入力をしない
携帯電話番号・電話番号	当社を装った不審なSMS・電話（公式）	心当たりのない番号には出ない・折り返さない。SMSのリンクは開かない
氏名・住所・生年月日・年齢	名前や住所、生年月日を書いて本物らしく見せる連絡	個人情報が合っていても、本物とは限らないと考える
H2O IDでのご利用サービス項目	使っているサービス名（E-STORES・予約サイトなど）を挙げた連絡	注文や予約の確認を理由に情報を求められても、その場で入力しない。公式サイトやアプリから確かめる
カード番号の下4桁・名義・有効期限（E-STORES・Remo Orderが保持。第2報で外部への漏えいは確認されず）	カード番号の一部を示して信用させようとする連絡	カード番号の残りや暗証番号、セキュリティコードを聞かれても答えない。利用明細を確認する

メール：案内の送信元は＜noreply@h2o-retailing.co.jp＞

公式発表は「当社からお客さまへお送りする案内の送信元メールアドレスは＜noreply@h2o-retailing.co.jp＞となります。これ以外の送信元からの連絡にはご注意ください」としています。ただし、送信元の表示は偽装されることもあるため、送信元が同じでも、本文のリンクからログインしたり、カード情報を入力したりしないでください。

阪急阪神百貨店は2026年10月20日、「弊社「H2O ID」を騙る不審メールにご注意ください」を阪急百貨店・阪神百貨店の公式サイトに掲載しました（PDF。掲載終了・2026年11月9日確認）。「この度、弊社の「H２O ID」を騙り、メール内のバナーやリンクをクリックさせて不審なサイトへ誘導し、クレジットカード番号や個人情報を入力させようとする詐欺メールが確認されております」とし、「弊社から、このようなメールをお客様にお送りすることは一切ございません」として、不審なメールを受け取ってもメール内のバナーやリンクをクリックせず、クレジットカード番号や個人情報を入力しないよう注意を呼びかけていました。このお知らせは、10月19日に公表した不正アクセスとの関係には触れていません。10月30日には「「阪急百貨店」「阪神百貨店」を騙るメール、電話にご注意ください」（10月27日付・PDF）を掲載し、メールに加えて「お電話によりクレジットカード番号や個人情報を聞き出そうとする事案が確認されております」としています。

警察庁は「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。

電話：百貨店の担当者を名乗る電話にも注意

阪神百貨店は今回の件より前の2026年3月11日に、「阪急・阪神百貨店の関係者等を名乗る不審な電話にご注意ください」を掲載しています（本件とは別のお知らせです）。売場担当者や総務担当者を名乗り、カード番号や暗証番号を聞き出そうとする電話について、「弊社よりこのような電話を直接おかけすることはありません」とし、こうした電話や訪問を受けた場合は最寄りの警察署に連絡・相談するよう案内しています。

見慣れない番号からの着信やSMSの見分け方は8180・8190・8170の電話やSMSは何？、番号の桁数から国内・海外を見分ける方法は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方にまとめています。うっかり出てしまった・折り返してしまった場合の対処は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順を参考にしてください。

今やること（公式の案内と一般的な対策）

公式が案内していること（順番に）

公式発表の「当社の対応」「お客さまへのお願い」「お客さまへの対応」から、利用者がすることを順に並べると次のとおりです。

案内メールが届いているか確かめる：「H2O ID 会員の皆さまに電子メールにて順次ご連絡」。送信元は＜noreply@h2o-retailing.co.jp＞
不審な連絡やURLに注意する：「身に覚えのない連絡や不審な URL には十分ご注意いただきますようお願い申しあげます」。10月20日の注意喚起でも、メール内のバナーやリンクをクリックせず、クレジットカード番号や個人情報を入力しないよう呼びかけていました。10月27日付のお知らせは、不審なメール・電話でカード番号や個人情報を「入力されたり、ご回答されたりすることがないよう、十分ご注意ください」としています
わからないことは窓口へ：第2報の専用フリーダイヤル（0120-220-693・0120-600-213・0120-213-940・各日午前10時〜午後8時）か、お問い合わせアドレス hhd-callcenter@hankyu-hanshin-dept.jp

2026年11月4日に確認した時点の公式発表（第2報まで）にも、パスワードの変更を求める案内は書かれていません。今後の調査で新しい事実がわかった場合は「当社ホームページ等を通じて速やかに開示いたします」としているため、公式のお知らせを確認してください。

一般的な対策（公式の案内ではないもの）

以下は公式発表の案内ではなく、メールアドレスや電話番号、カード番号の一部などが漏れた、または漏れた可能性がある場合に一般的に取られる対策です。

気になる人はパスワードを変える：公式の依頼はありませんが、不安な場合は、メールのリンクではなくH2O IDの公式ページから手続きします。H2O IDの「よくあるご質問」では、マイページの「会員情報設定」から、パスワードの編集ボタンで変更できると案内されています
同じパスワードの使い回し先を見直す：H2O IDと同じメールアドレス・パスワードの組み合わせをほかのサービスでも使っている場合は、そちらも別のパスワードに変えることが考えられます（考え方はパスワード流出の真相と安全対策）
カードの利用明細を確認する：E-STORESやRemo Orderでカード決済をした人は、カード会社の公式アプリや会員サイトで利用明細を確認し、身に覚えのない請求があればカードの裏面に書かれた番号でカード会社に連絡する
「補償」「返金」を名乗る連絡に応じない：2026年11月4日の確認時点で、公式発表に補償の案内はありません（次の章を参照）

アカウントの乗っ取りを防ぐ考え方は、楽天証券の乗っ取り事件から学ぶセキュリティ対策でも解説しています。

補償・お詫びはある？

公式発表には「多大なるご心配とご迷惑をおかけしておりますことを深くお詫び申しあげます」というお詫びの文言があります。一方で、補償・お詫びのポイントや金券などの記載はありません（2026年11月4日確認時点・第2報まで）。

「お詫びのポイントを受け取るにはログインが必要」「返金の手続きにカード番号が必要」といった連絡が届いても、本文のリンクから情報を入力しないでください。今後、補償などの発表があれば、阪急百貨店・阪神百貨店やエイチ・ツー・オーリテイリングの公式サイトのお知らせで確かめられます。

個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。

阪急阪神百貨店への不正アクセス：経緯・原因と公表の履歴

原因について、公式発表は「現在、詳細な原因究明およびセキュリティ脆弱性の解析・調査を進めております」としていて、具体的な手口は書かれていません。判明後の対応として挙げられているのは次のとおりです。

外部からの不正な通信の遮断などの緊急措置と、各サイトのシステム全体の停止
対象サービスのホームページと機能について、同様の手口による新たな被害・影響の拡大防止措置を完了
個人情報保護委員会への報告と、所轄警察署への被害申告
H2O ID会員への電子メールでの連絡（順次）

サービスについては「原因の究明およびセキュリティ脆弱性の修正を実施したうえで、安全が確認され次第、サービスの再開を予定しております。サービス再開の際は、ホームページでお知らせいたします」としています。

日付	公表・出来事
2026年10月16日（金）	「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスを確認。同日、不正な通信の遮断などの緊急措置をとり、同サイトのシステム全体を停止
2026年10月17日（土）	「HANKYU HANSHIN E-STORES」「Remo Order」でも不正アクセスを確認し、同日に両サイトのシステム全体を停止
2026年10月19日（月）	調査により、顧客管理システムで管理している「H2O ID」のうち約126万件の個人情報の一部の漏えいが判明。エイチ・ツー・オーリテイリングと阪急阪神百貨店が「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」を公表
2026年10月19日（月）14時	阪急阪神百貨店が「HANKYU HANSHIN E-STORES」を再開したと公表（「再発防止策と安全確認が完了しましたので、本日１４時からサイトを再開させていただきました」。2026年10月20日に確認したお知らせで、10月24日の確認時点では公式サイトの「大切なお知らせ」から外れ、掲載が終了）
2026年10月20日（火）	阪急阪神百貨店が「弊社「H2O ID」を騙る不審メールにご注意ください」を掲載（詐欺メールが確認されていると注意喚起）
2026年10月24日（土）	阪急阪神百貨店が「「HANKYU HANSHIN E-STORES」緊急メンテナンスのお詫び」（「緊急メンテナンス中により休止」）と「阪急阪神百貨店アプリ緊急メンテナンスに関するお詫びとお願い」を掲載（いずれも理由の記載なし）
2026年10月25日（日）	同じ題名の2つのお知らせが2026年10月25日付の版に差し替えられ、E-STORESの休止とアプリの緊急メンテナンスが続いていることを案内（文言は10月24日付と同じで、理由の記載なし。いずれも掲載終了・2026年11月9日確認）
2026年10月30日（金）	エイチ・ツー・オーリテイリングと阪急阪神百貨店が「第三者による不正アクセス発生について（第2報）」を公表。予約サイトの入力フォーム記載内容 6,243件の漏えいが判明、E-STORES・Remo Orderの「お客さま情報」の外部への漏えいは確認されず。問い合わせ先を新しいフリーダイヤル3番号とメールアドレスで案内
2026年10月30日（金）	阪急阪神百貨店が「「阪急阪神百貨店アプリ」サービス再開のお知らせ」（10月22日から休止していたアプリを再開）と、カスタマープログラムの積算金額・ステージの反映が10月18日時点で止まっていることのお詫びを掲載。「阪急百貨店」「阪神百貨店」を騙るメール・電話への注意喚起（10月27日付）も掲載
2026年11月3日（火）	阪急阪神百貨店が「オンラインショップ、予約サイトのシステム緊急点検並びに調査について(お詫び)」を掲載。E-STORES・阪急・阪神ギフトモール・Remo Order・予約サイトを休止

E-STORESは10月19日14時にいったん再開しましたが、阪急阪神百貨店は2026年10月24日、「「HANKYU HANSHIN E-STORES」緊急メンテナンスのお詫び」（PDF。掲載終了・2026年11月9日確認）を掲載し、「現在、阪急阪神公式通販サイト「HANKYU HANSHIN E-STORES」は緊急メンテナンス中により休止いたしております」としていました（理由の記載なし）。10月30日の第2報は「システムの総点検を実施しており、阪急阪神百貨店の一部サービスのご利用を停止させていただいております」と説明し、11月3日の「オンラインショップ、予約サイトのシステム緊急点検並びに調査について(お詫び)」（PDF）では、E-STORES・阪急・阪神ギフトモール・Remo Order・予約サイトについて「システム緊急点検ならびに調査を実施しており、休止いたしております」「点検ならびに調査が終了いたしましたら、改めてホームページにてご案内させていただきます」としています。

阪急阪神百貨店アプリは、10月24日の「阪急阪神百貨店アプリ緊急メンテナンスに関するお詫びとお願い」（PDF。掲載終了・2026年11月9日確認）で、メンテナンス期間中はアプリ配信のクーポンを使えないと案内されていました。10月30日の「「阪急阪神百貨店アプリ」サービス再開のお知らせ」（PDF）は、「２０２６年１０月２２日(木)から、緊急メンテナンスのため休止しておりましたが、本日から再開し、会員証やクーポンをご利用いただけるようになりました」としています。ただし予約メニュー・予約履歴、E-STORES・阪急・阪神ギフトモールのショッピングタブ、Sポイント関連の一部機能は、連携先が休止中のため使えないとしています。またカスタマープログラムのお詫び（PDF）では、積算金額とステージの反映は「２０２６年１０月１８日時点の状態で停止」しており、10月19日以降の買上げデータは保持され、復旧後に順次反映するとしています（問い合わせはアプリ・ポイントカードコールセンター 0570-007-760・10:00〜18:00）。

2026年11月4日に確認した時点で、最新の続報は10月30日の第2報です（2026年11月9日に再確認した時点でも同じで、11月3日の休止のお知らせのあとに再開のお知らせは出ていません）。E-STORES・Remo Order・予約サイトの再開のお知らせは、阪急百貨店の公式サイトの「大切なお知らせ」とエイチ・ツー・オーリテイリングのニュースリリース一覧には出ていません。第2報は「詳細調査を継続し、新たな事実が判明いたしましたら、ただちに公表させていただきます」としています。

ほかの事案（同じ時期に公表された情報漏えい）

小売の会員IDが対象になった事案はローソンIDの不正アクセス（漏れた項目と今やること）、通販の会員情報が対象になった事案はファンケル・アテニアの情報漏えい（漏れた項目）やコミックシーモアの情報漏えいでも、公式発表をもとに整理しています。そのほかの事案は2026年国内の情報漏えい・サイバー攻撃一覧で確認できます。

よくある質問

阪急阪神百貨店の不正アクセス（2026年）とH2O リテイリングの情報漏洩は同じ件ですか？

A. 同じ件です。エイチ・ツー・オーリテイリングと阪急阪神百貨店が、2026年10月19日に「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」を、10月30日に「第三者による不正アクセス発生について（第2報）」を、それぞれ連名で公表しています。予約サイトなどへの不正アクセスで、「H2O ID」の約126万件の個人情報の一部が漏えいしたことが判明したという内容です。2026年11月9日確認時点で、第3報は出ていません。

阪急阪神百貨店の情報漏えいで、自分が対象かどうか確認する方法はありますか？

A. 自分が対象かを調べる照会ページの案内はありません。公式発表は対象を「ほぼ全ての「H2O ID」会員」（約126万件）とし、H2O ID会員には電子メール（送信元 noreply@h2o-retailing.co.jp）で順次連絡するとしています。送り終える時期や退会済みの人の扱いは記載がありません。確認したい場合は、第2報の専用フリーダイヤル（0120-220-693・0120-600-213・0120-213-940・各日午前10時〜午後8時）か、お問い合わせアドレス hhd-callcenter@hankyu-hanshin-dept.jp に問い合わせてください。

H2O IDのパスワードも漏れたのですか？

A. 公式発表には「ログインパスワードの漏えいも確認されておりません」と書かれています。H2O IDの漏えい項目の一覧にもパスワードはなく、パスワードの変更を求める案内もありません（2026年11月4日確認・第2報まで）。漏えいした項目は、H2O ID・氏名・性別・メールアドレス・郵便番号・住所・携帯電話番号・電話番号・年齢・生年月日・H2O IDでの利用サービス項目です。

クレジットカード情報は漏れましたか？

A. クレジットカード情報は、HANKYU HANSHIN E-STORESとRemo Orderが保持している情報として挙げられていました。10月30日の第2報は、E-STORES・Remo Orderについて「第1報でお知らせしておりました「お客さま情報」の外部への漏えいは確認されませんでした」としています。保持しているのはカード種別・カード番号の下4桁・名義・有効期限で、公式発表はカード番号の全桁とセキュリティコードは一切保持していないため「不正に利用されるおそれはございません」としています。

阪急阪神百貨店を名乗るメールが届きました。本物か見分ける方法は？

A. 公式発表では、案内の送信元メールアドレスは＜noreply@h2o-retailing.co.jp＞で、これ以外の送信元からの連絡には注意するよう案内しています。ただし送信元の表示は偽装されることがあるため、本文のリンクからログインや情報入力をせず、公式サイトや公式アプリから確かめてください。阪急阪神百貨店は10月20日、「H2O ID」を騙ってメール内のバナーやリンクから不審なサイトへ誘導し、クレジットカード番号や個人情報を入力させようとする詐欺メールが確認されているとして、注意を呼びかけています。わからない点は第2報の専用フリーダイヤルかお問い合わせアドレスに問い合わせることができます。

HANKYU HANSHIN E-STORESやRemo Orderは今使えますか？

A. 使えません。阪急阪神百貨店の2026年11月3日のお知らせでは、HANKYU HANSHIN E-STORES・阪急・阪神ギフトモール・Remo Order・阪急百貨店・阪神百貨店予約サイトについて「システム緊急点検ならびに調査を実施しており、休止いたしております」とし、点検と調査が終わったら改めてホームページで案内するとしています。阪急阪神百貨店アプリは10月30日に再開しましたが、予約やショッピングなどの一部機能は連携先の休止により使えないとしています。

あわせて読みたい：GETTIISの情報漏えい、自分は対象？

あわせて読みたい：同じ10月19日に公表されたハノワの情報漏えいのおそれ

あわせて読みたい：アパレル小売のアンドエスティHDの事案（10/23公表）

まとめ

エイチ・ツー・オーリテイリングと阪急阪神百貨店は2026年10月19日、予約サイトなどへの第三者による不正アクセスで、「H2O ID」の約126万件の個人情報の一部が漏えいしたことが判明したと公表した（ほぼ全てのH2O ID会員が対象）
漏えいした項目は、H2O ID・氏名・性別・メールアドレス・郵便番号・住所・携帯電話番号・電話番号・年齢・生年月日・H2O IDでの利用サービス項目
10月30日の第2報で、予約サイトの入力フォーム記載内容 6,243件の漏えいが新たに判明。E-STORES・Remo Orderの「お客さま情報」は外部への漏えいが確認されなかった。ログインパスワードの漏えいは確認されていない
H2O ID会員には＜noreply@h2o-retailing.co.jp＞から順次メールで連絡。不審なメール・SMS・電話・URLに注意し、不明な点は第2報の専用フリーダイヤル（0120-220-693・0120-600-213・0120-213-940）かお問い合わせアドレスへ。10月20日には「H2O ID」を騙る詐欺メールへの注意喚起も出ている
補償の記載はなし。阪急阪神百貨店アプリは10月30日に再開（一部機能を除く）。E-STORES・阪急・阪神ギフトモール・Remo Order・予約サイトは、11月3日時点で「システム緊急点検ならびに調査」のため休止中

この記事は、2026年11月3日のお知らせまでの情報（2026年11月4日確認・2026年11月9日に続報なしを再確認）で書いています。続報で内容が変わる可能性があるため、続報が出た場合は阪急百貨店・阪神百貨店やエイチ・ツー・オーリテイリングの公式のお知らせを優先してください。