「阪急阪神百貨店の情報が漏れたらしいけれど、自分も対象？」「H2O IDのパスワードやクレジットカードは大丈夫？」「阪急阪神百貨店から届いたメールは本物？」と気になっている方に向けて、公式発表に書かれていることだけを整理しました。内容は、エイチ・ツー・オー リテイリング株式会社と株式会社阪急阪神百貨店が2026年10月19日に公表した「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」の原文を、2026年10月20日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。
【結論】エイチ・ツー・オー リテイリングと阪急阪神百貨店は2026年10月19日、「阪急百貨店・阪神百貨店予約サイト」などへの第三者による不正アクセスで、グループ共通の会員ID「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明したと公表しました。
- 公式発表は「現在調査中ですが、ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました」としています。項目は H2O ID・氏名・性別・メールアドレス・郵便番号・住所・携帯電話番号・電話番号・年齢・生年月日・H2O IDでの利用サービス項目
- 「HANKYU HANSHIN E-STORES」「Remo Order」の注文履歴・クレジットカード情報の一部（下4桁など）・ポイントカード情報の一部・アドレス帳は、漏えいの可能性を調査中。ログインパスワードの漏えいは確認されていない
- H2O ID会員には電子メールで順次連絡。案内の送信元は＜noreply@h2o-retailing.co.jp＞。問い合わせは特設コールセンター 0120-110-256 または 0120-369-089（午前10時〜午後8時）
ほかの企業の公表も含めた全体像は、2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）にまとめています。
自分は対象？公式発表でわかること早見表
公式発表は、経由したサイトごとに2つに分けて書いています。「阪急百貨店・阪神百貨店予約サイト経由」はH2O ID会員の情報の漏えいが判明したもの、「HANKYU HANSHIN E-STORES / Remo Order経由」は漏えいの可能性を調査中のものです。
| 知りたいこと | 公式発表に書かれていること |
|---|---|
| 対象 | 「H2O ID」会員（約126万件）。「現在調査中ですが、ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました」 |
| 不正アクセスがあったサイト | 「阪急百貨店・阪神百貨店予約サイト」（10月16日に確認）、「HANKYU HANSHIN E-STORES」と「Remo Order」（10月17日に確認） |
| 漏えいの状況 | 予約サイト経由：H2O IDの約126万件で漏えいが判明（10月19日）／E-STORES・Remo Order経由：漏えいの可能性は調査中 |
| 対象者への知らせ方 | 「H2O ID 会員の皆さまに電子メールにて順次ご連絡」。送信元は＜noreply@h2o-retailing.co.jp＞ |
| まだメールが来ない場合 | 公式発表に記載なし（「順次」とあり、送り終える時期の記載もなし） |
| 退会済みの人・H2O IDを作っていない人 | 公式発表に記載なし |
| 自分が対象かを調べるページ | 公式発表に記載なし（照会ページの案内はない） |
| 問い合わせ先 | 阪急阪神百貨店特設コールセンター フリーダイヤル 0120-110-256 または 0120-369-089（受付 午前10時〜午後8時）／お問い合わせフォーム（https://h2o-id.h2o-retailing.co.jp/web/contact） |
お知らせは、エイチ・ツー・オー リテイリング「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（報道関係者向け・PDF）と、阪急阪神百貨店のお客様向けのお知らせ（阪急百貨店の公式サイト掲載分（PDF）・阪神百貨店の公式サイト掲載分（PDF））として掲載されています。内容は同じです。
H2O IDとは？どのサービスで使うID？
H2O IDは、エイチ・ツー・オー リテイリングが提供する、ひとつのアカウントでグループの複数のサービスを使える会員サービスです。H2O ID「よくあるご質問」には、H2O IDで利用できるサービスとして次の5つが挙げられています。これらのサービスにH2O IDでログインしている人は、H2O IDを持っていることになります。
- HANKYU HANSHIN E-STORES（Remo Orderを含む）
- 阪急・阪神ギフトモール
- 阪急百貨店・阪神百貨店予約サイト
- 阪急阪神百貨店アプリ
- まちうまアプリ
公式発表の対象は「ほぼ全ての「H2O ID」会員」です。H2O IDを登録している人の大半が含まれる書き方ですが、自分が対象かどうかを個別に調べるページは案内されていません。届いたメールか、特設コールセンター・お問い合わせフォームで確かめてください。
問い合わせは特設コールセンターかフォームへ
公式発表の問い合わせ先は「阪急阪神百貨店特設コールセンター」で、フリーダイヤルは0120-110-256 または 0120-369-089、受付は午前10時〜午後8時です（エイチ・ツー・オー リテイリングのお知らせでは「各日午前10時から午後8時まで」）。あわせてH2O ID「お問い合わせ」フォームも案内されています。フォームでは「ご利用のサービス」で H2O ID・HANKYU HANSHIN E-STORES（Remo Orderを含む）・阪急百貨店・阪神百貨店予約サイトなどを選べます。
電話番号やフォームのURLは、メールやSMSに書かれたものではなく、この公式発表に書かれたものを使ってください。
何が漏れた？公表された項目と件数
公式発表の見出しは「漏えいした可能性があるお客さま情報」ですが、その中で、予約サイト経由のH2O IDについては「ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました」と漏えいしたと書いています。一方、E-STORES・Remo Order経由については「漏えいの可能性については現在調査中」で、漏えいしたとは書かれていません。この2つは分けて読む必要があります。
| 経由したサイト | 状況（公式の表現） | 情報 |
|---|---|---|
| 阪急百貨店・阪神百貨店予約サイト経由 | H2O ID会員（約126万件）。「ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました」 | H2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでのご利用サービス項目 |
| HANKYU HANSHIN E-STORES / Remo Order経由 | 「漏えいの可能性については現在調査中ですが、同サービスでは以下の情報を保持しております」 | 商品注文履歴／クレジットカード情報の一部（カード種別、カード番号の下4桁、名義、有効期限）／ポイントカード情報の一部（ポイントカード種別、カード番号の下4桁）／アドレス帳の情報 |
H2O IDの約126万件：生年月日や携帯電話番号も
H2O IDの項目は11あり、氏名は「姓名・漢字カナ」と書かれています。住所・郵便番号に加えて、携帯電話番号と電話番号、年齢・生年月日も含まれています。「H2O IDでのご利用サービス項目」は、H2O IDでどのサービスを使っているかの情報です。項目の中にパスワードは挙げられていません。
クレジットカード：保持していたのは下4桁・名義・有効期限など（調査中）
クレジットカード情報が出てくるのは、E-STORES・Remo Order経由の「保持している情報」の中だけで、漏えいの可能性は調査中です。保持している項目は「カード種別、カード番号の下4桁、名義、有効期限」で、公式発表は「当社では決済情報の非保持化に対応しており、クレジットカード番号全桁およびセキュリティコードは一切保持しておりませんので、不正に利用されるおそれはございません」としています。
ポイントカードについても、保持しているのは「ポイントカード種別、カード番号の下4桁」で、「保有ポイントを不正に利用されるおそれはございません」と書かれています。
パスワード：「漏えいも確認されておりません」
公式発表には「ログインパスワードの漏えいも確認されておりません」と書かれています（E-STORES・Remo Orderの項目の注記として記載）。H2O IDの漏えい項目の一覧にもパスワードはありません。また、公式発表は「現時点において、本件に起因すると考えられる不正利用や二次被害の発生は確認されておりません」としています。
漏れた項目ごとに気をつけたい連絡
公式発表は「本件で対象となっている「H2O ID」にご登録いただいたメールアドレスや電話番号宛に、当社を装った不審なメール、SMS、お電話等が行われる可能性がございます」と案内しています。項目ごとに整理すると次のとおりです（「公式」と書いたもの以外は一般的な注意点です）。
| 項目 | 考えられる連絡 | 注意すること |
|---|---|---|
| メールアドレス | 阪急阪神百貨店などを装った不審なメール（公式） | 送信元が＜noreply@h2o-retailing.co.jp＞以外のものは注意（公式）。本文のリンクからログインや情報入力をしない |
| 携帯電話番号・電話番号 | 当社を装った不審なSMS・電話（公式） | 心当たりのない番号には出ない・折り返さない。SMSのリンクは開かない |
| 氏名・住所・生年月日・年齢 | 名前や住所、生年月日を書いて本物らしく見せる連絡 | 個人情報が合っていても、本物とは限らないと考える |
| H2O IDでのご利用サービス項目 | 使っているサービス名（E-STORES・予約サイトなど）を挙げた連絡 | 注文や予約の確認を理由に情報を求められても、その場で入力しない。公式サイトやアプリから確かめる |
| カード番号の下4桁・名義・有効期限（E-STORES・Remo Orderで調査中） | カード番号の一部を示して信用させようとする連絡 | カード番号の残りや暗証番号、セキュリティコードを聞かれても答えない。利用明細を確認する |
メール：案内の送信元は＜noreply@h2o-retailing.co.jp＞
公式発表は「当社からお客さまへお送りする案内の送信元メールアドレスは＜noreply@h2o-retailing.co.jp＞となります。これ以外の送信元からの連絡にはご注意ください」としています。ただし、送信元の表示は偽装されることもあるため、送信元が同じでも本文のリンクからログインしたり、カード情報を入力したりしないのが安全です。
警察庁は「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）。
電話：百貨店の担当者を名乗る電話にも注意
阪神百貨店は今回の件より前の2026年3月11日に、「阪急・阪神百貨店の関係者等を名乗る不審な電話にご注意ください」を掲載しています（本件とは別のお知らせです）。売場担当者や総務担当者を名乗り、カード番号や暗証番号を聞き出そうとする電話について、「弊社よりこのような電話を直接おかけすることはありません」とし、こうした電話や訪問を受けた場合は最寄りの警察署に連絡・相談するよう案内しています。
見慣れない番号からの着信やSMSの見分け方は8180・8190・8170の電話やSMSは何？、番号の桁数から国内・海外を見分ける方法は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方にまとめています。うっかり出てしまった・折り返してしまった場合の対処は国際電話に出てしまったときの対処法、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順を参考にしてください。
今やること（公式の案内と一般的な対策）
公式が案内していること（順番に）
公式発表の「当社の対応」「お客さまへのお願い」「お客さまへの対応」から、利用者がすることを順に並べると次のとおりです。
- 案内メールが届いているか確かめる：「H2O ID 会員の皆さまに電子メールにて順次ご連絡」。送信元は＜noreply@h2o-retailing.co.jp＞
- 不審な連絡やURLに注意する：「身に覚えのない連絡や不審な URL には十分ご注意いただきますようお願い申しあげます」
- わからないことは窓口へ：阪急阪神百貨店特設コールセンター（0120-110-256 または 0120-369-089・午前10時〜午後8時）か、お問い合わせフォーム
2026年10月20日に確認した時点の公式発表には、パスワードの変更を求める案内は書かれていません。今後の調査で新しい事実がわかった場合は「当社ホームページ等を通じて速やかに開示いたします」としているため、公式のお知らせを確認してください。
一般的な対策（公式の案内ではないもの）
以下は公式発表の案内ではなく、メールアドレスや電話番号、カード番号の一部などが漏れた、または漏れた可能性がある場合に一般的に取られる対策です。
- 気になる人はパスワードを変える：公式の依頼はありませんが、不安な場合は、メールのリンクではなくH2O IDの公式ページから手続きします。H2O IDの「よくあるご質問」では、マイページの「会員情報設定」から、パスワードの編集ボタンで変更できると案内されています
- 同じパスワードの使い回し先を見直す：H2O IDと同じメールアドレス・パスワードの組み合わせをほかのサービスでも使っている場合は、そちらも別のパスワードに変えておくと安心です（考え方はパスワード流出の真相と安全対策）
- カードの利用明細を確認する：E-STORESやRemo Orderでカード決済をした人は、カード会社の公式アプリや会員サイトで利用明細を確認し、身に覚えのない請求があればカードの裏面に書かれた番号でカード会社に連絡する
- 「補償」「返金」を名乗る連絡に応じない：公式発表には補償の案内はありません（次の章を参照）
アカウントの乗っ取りを防ぐ考え方は、楽天証券の乗っ取り事件から学ぶセキュリティ対策でも解説しています。
補償・お詫びはある？
公式発表には「多大なるご心配とご迷惑をおかけしておりますことを深くお詫び申しあげます」というお詫びの文言があります。一方で、補償・お詫びのポイントや金券などの記載はありません（2026年10月20日確認時点）。
「お詫びのポイントを受け取るにはログインが必要」「返金の手続きにカード番号が必要」といった連絡が届いても、本文のリンクから情報を入力しないでください。今後、補償などの発表があれば、阪急百貨店・阪神百貨店やエイチ・ツー・オー リテイリングの公式サイトのお知らせで確かめるのが安全です。
個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。
経緯・原因と公表の履歴
原因について、公式発表は「現在、詳細な原因究明およびセキュリティ脆弱性の解析・調査を進めております」としていて、具体的な手口は書かれていません。判明後の対応として挙げられているのは次のとおりです。
- 外部からの不正な通信の遮断などの緊急措置と、各サイトのシステム全体の停止
- 対象サービスのホームページと機能について、同様の手口による新たな被害・影響の拡大防止措置を完了
- 個人情報保護委員会への報告と、所轄警察署への被害申告
- H2O ID会員への電子メールでの連絡（順次）
サービスについては「原因の究明およびセキュリティ脆弱性の修正を実施したうえで、安全が確認され次第、サービスの再開を予定しております。サービス再開の際は、ホームページでお知らせいたします」としています。
| 日付 | 公表・出来事 |
|---|---|
| 2026年10月16日（金） | 「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスを確認。同日、不正な通信の遮断などの緊急措置をとり、同サイトのシステム全体を停止 |
| 2026年10月17日（土） | 「HANKYU HANSHIN E-STORES」「Remo Order」でも不正アクセスを確認し、同日に両サイトのシステム全体を停止 |
| 2026年10月19日（月） | 調査により、顧客管理システムで管理している「H2O ID」のうち約126万件の個人情報の一部の漏えいが判明。エイチ・ツー・オー リテイリングと阪急阪神百貨店が「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」を公表 |
| 2026年10月19日（月）14時 | 阪急阪神百貨店が「HANKYU HANSHIN E-STORES」を再開（「再発防止策と安全確認が完了しましたので、本日１４時からサイトを再開させていただきました」） |
E-STORESの再開は、阪急阪神百貨店の「HANKYU HANSHIN E-STORES」再開のお知らせ（PDF）で公表されています。2026年10月20日に確認した時点で、「Remo Order」と「阪急百貨店・阪神百貨店予約サイト」の再開のお知らせ、件数や項目を変える続報（第2報）は、阪急百貨店・阪神百貨店の公式サイトの「大切なお知らせ」とエイチ・ツー・オー リテイリングのニュースリリース一覧には掲載されていません。
ほかの事案（同じ時期に公表された情報漏えい）
小売の会員IDが対象になった事案はローソンIDの不正アクセス（漏れた項目と今やること）、通販の会員情報が対象になった事案はファンケル・アテニアの情報漏えい（漏れた項目）やコミックシーモアの情報漏えいでも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧で確認できます。
よくある質問
阪急阪神百貨店の情報漏えいで、自分が対象かどうか確認する方法はありますか？
A. 自分が対象かを調べる照会ページの案内はありません。公式発表は対象を「ほぼ全ての「H2O ID」会員」（約126万件）とし、H2O ID会員には電子メール（送信元 noreply@h2o-retailing.co.jp）で順次連絡するとしています。送り終える時期や退会済みの人の扱いは記載がありません。確認したい場合は、特設コールセンター（0120-110-256 または 0120-369-089・午前10時〜午後8時）かお問い合わせフォームで問い合わせてください。
H2O IDのパスワードも漏れたのですか？
A. 公式発表には「ログインパスワードの漏えいも確認されておりません」と書かれています。H2O IDの漏えい項目の一覧にもパスワードはなく、パスワードの変更を求める案内もありません（2026年10月20日確認）。漏えいした項目は、H2O ID・氏名・性別・メールアドレス・郵便番号・住所・携帯電話番号・電話番号・年齢・生年月日・H2O IDでの利用サービス項目です。
クレジットカード情報は漏れましたか？
A. クレジットカード情報は、HANKYU HANSHIN E-STORESとRemo Orderが保持している情報として挙げられていて、漏えいの可能性は調査中です。保持しているのはカード種別・カード番号の下4桁・名義・有効期限で、公式発表はカード番号の全桁とセキュリティコードは一切保持していないため「不正に利用されるおそれはございません」としています。
阪急阪神百貨店を名乗るメールが届きました。本物か見分ける方法は？
A. 公式発表では、案内の送信元メールアドレスは＜noreply@h2o-retailing.co.jp＞で、これ以外の送信元からの連絡には注意するよう案内しています。ただし送信元の表示は偽装されることがあるため、本文のリンクからログインや情報入力をせず、公式サイトや公式アプリから確かめてください。わからない点は特設コールセンターで確認できます。
HANKYU HANSHIN E-STORESやRemo Orderは今使えますか？
A. HANKYU HANSHIN E-STORESは、阪急阪神百貨店の2026年10月19日のお知らせで、同日14時に再開したと公表されています。Remo Orderと阪急百貨店・阪神百貨店予約サイトは、2026年10月20日の確認時点で再開のお知らせは出ていません。公式発表は、安全が確認され次第再開し、ホームページで知らせるとしています。
まとめ
- エイチ・ツー・オー リテイリングと阪急阪神百貨店は2026年10月19日、予約サイトなどへの第三者による不正アクセスで、「H2O ID」の約126万件の個人情報の一部が漏えいしたことが判明したと公表した（ほぼ全てのH2O ID会員が対象）
- 漏えいした項目は、H2O ID・氏名・性別・メールアドレス・郵便番号・住所・携帯電話番号・電話番号・年齢・生年月日・H2O IDでの利用サービス項目
- E-STORES・Remo Orderの注文履歴・カード情報の一部（下4桁・名義・有効期限など）・ポイントカード情報の一部・アドレス帳は、漏えいの可能性を調査中。ログインパスワードの漏えいは確認されていない
- H2O ID会員には＜noreply@h2o-retailing.co.jp＞から順次メールで連絡。不審なメール・SMS・電話・URLに注意し、不明な点は特設コールセンター（0120-110-256 または 0120-369-089）へ
- 補償の記載はなし。E-STORESは10月19日14時に再開、Remo Orderと予約サイトは10月20日時点で再開のお知らせなし
この記事は、2026年10月19日の公式発表までの情報（2026年10月20日確認）で書いています。続報で内容が変わる可能性があるため、続報が出た場合は阪急百貨店・阪神百貨店やエイチ・ツー・オー リテイリングの公式のお知らせを優先してください。
出典
- エイチ・ツー・オー リテイリング株式会社・株式会社阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日・PDF・2026年10月20日確認）
- 株式会社阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日・お客様向け・阪急百貨店掲載分／阪神百貨店掲載分）
- 株式会社阪急阪神百貨店「阪急阪神百貨店公式通販サイト「HANKYU HANSHIN E-STORES」再開のお知らせ」（2026年10月19日）
- H2O ID「よくあるご質問」／H2O ID「お問い合わせ」（2026年10月20日確認）
- 阪神百貨店「阪急・阪神百貨店の関係者等を名乗る不審な電話にご注意ください」（2026年3月11日・別件）
- 警察庁「フィッシング対策」／個人情報保護委員会「個人情報保護法相談ダイヤル」
コメント