H2O ID約126万件の漏えいで判明したのは予約サイト経由の項目。カード種別・下4桁・名義・有効期限は通販2サービスで調査中

2026年10月22日

この記事のポイント

いつ：10月16日に予約サイト経由の不正アクセスを確認、17日に通販2サービスでも確認。公表は19日です
何が：H2O ID約126万件の一部。氏名・住所・生年月日・携帯電話番号などが漏えいしたと報じられています
調査中：通販2サービス（HANKYU HANSHIN E-STORES・Remo Order）のカード種別・下4桁・名義・有効期限、ポイントカード一部・注文履歴・アドレス帳です
持たない：カード番号の全桁とセキュリティコードは持たないとされています
確認されていない：ログインパスワードの漏えいは19日時点で確認されておらず、不正利用などの二次被害も発表時点では確認されていないとしています
今日やること：H2O ID を持っているなら、対象に含まれている前提で動くのが安全です。会員には noreply@h2o-retailing.co.jp から順次メールが届きますが、本物の通知を装う不審メールも想定されるため、メール内のリンクではなく窓口で確かめてください

エイチ・ツー・オーリテイリングと阪急阪神百貨店は10月19日、グループ共通会員ID「H2O ID」に関する個人情報が漏えいしたと公表しました。H2O ID は、HANKYU HANSHIN E-STORES や阪急百貨店・阪神百貨店予約サイトなどで使えるグループ共通の会員IDで、約126万件が「ほぼ全会員分」と報じられています。編集部の見立てですが、H2O ID を持っているなら、対象に含まれている前提で動くのが安全です。

本稿は日経やITmediaなど複数媒体の報道をもとに整理しています。公式リリース（PDF）の原文は編集部で確認できていないため、項目や件数は公式の逐語ではなく報道ベースの内容です。

確認は予約サイトが10月16日、通販2サービスが17日で、公表は3日後の19日

最初に確認されたのは10月16日で、「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの第三者による不正アクセスだったと報じられています。同社は予約サイトを停止しました。翌17日には通販の「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、確認した時点で計3サービスを停止しています。現在の再開状況は、後述のとおり報道が分かれています。確認から公表までは3日ありました。

公表の状況は系統ごとに分かれています。漏えいが判明した項目は予約サイト経由の顧客管理システム内のもの、調査中の項目は通販2サービスが保持していた分です。公表項目が系統ごとに分かれる例は、ローソンIDの215万件とアプリ予約26件の記事でも整理しました。

「ほぼ全会員分」は報道側の表現

ITmedia やASCIIは見出しで「ほぼ全会員分」と伝えましたが、これは報道側の表現で、公式の言葉かは確認できていません。約126万件が人数なのかID件数なのかも、明記されていません。

判明したのは住所・生年月日・携帯電話番号まで。連絡先がそろう点に注意

予約サイト経由で顧客管理システムから漏えいしたとされるのは、次の項目です（複数の解説記事が同じ列挙を載せています）。

H2O ID、氏名（漢字・カナ）、性別、年齢、生年月日
メールアドレス、郵便番号、住所、携帯電話番号、電話番号
H2O ID で利用しているサービスの項目

個々の項目より注目したいのは、連絡先と本人属性がそろっている点です。これらの情報を知っている相手からの連絡は、本物の通知と見分けにくくなると考えられます。パスワードが漏れていなくても、メールやSMS、電話という別の入口から狙われる余地は残ります。

調査中のカード情報は、種別・下4桁・名義・有効期限の4項目

通販2サービスが保存していた分のうち、カード種別・番号の下4桁・名義・有効期限は、漏えいの有無を調査中と報じられています。一方、番号の全桁とセキュリティコードは、そもそも同社が持たないとされます（共同通信系の報道）。非保持化とは、カード番号の全桁やセキュリティコードを自社で保存しない運用を指します。「持たない情報」と「漏えいの有無を調べている情報」では、扱いが分かれています。

下4桁・名義・有効期限は、連絡を本物らしく見せる材料になりうる

仮に漏えいが確認された場合でも、全桁がなければ、漏れた情報だけでカードを決済に使うのは難しいと考えられます。ただし下4桁・名義・有効期限は、カード会社や通販事業者を名乗る連絡の「本物らしさ」を増す材料になりえます。

ポイントカード一部・注文履歴・アドレス帳も調査中。アドレス帳に誰の情報が入るかは確認できていない

ポイントカードの一部情報、注文履歴、アドレス帳も調査中とされています。アドレス帳に誰の情報が何件入るのかは、報道では確認できていません。

区分	項目	状況
予約サイト経由・顧客管理システム	氏名、生年月日、住所、携帯電話番号、メールアドレスなど	漏えいが判明
通販2サービス	カード種別・下4桁・名義・有効期限	調査中
通販2サービス	ポイントカード一部、注文履歴、アドレス帳	調査中
通販2サービス	カード番号の全桁、セキュリティコード	持たないとされる
全体	ログインパスワード、不正利用などの二次被害	確認されていない（19日時点）

なお、パスワードがハッシュ化されていたかどうかは確認できていません。

本物の通知が届く週は、同社を装うメールも紛れやすい

H2O ID 会員には、noreply@h2o-retailing.co.jp から順次メールで連絡すると案内されています。同時に同社は、自社を装った不審なメール・SMS・電話が行われる可能性があるとして注意を呼びかけています。

届いたら：本文のリンクを開かず、窓口は公式の案内から探す

送信元アドレスの表示が正しく見えても、それだけで本物とは言い切れません。当サイトで扱ったアルカディアの不正アクセスの記事では、同じドメインからカード会社を名乗るメールが届いた例を取り上げており、送信元は手がかりになりませんでした。メール内のリンクからIDやカード情報を入力せず、下記の窓口に自分で連絡して確かめてください。

届かない人：対象外と決めつけない

通知は順次送られている段階で、メールが届いていないことは対象外の証明になりません。自分が含まれるかについて、報道で確認できる経路は、メール通知と問い合わせ窓口だけです。

予約サイトだけか通販も使ったかで、今日の行動は変わる

どのサービスを使ったかで、警戒する先と確認する場所が変わります。思い出せないときは、メールの受信履歴から E-STORES や予約サイトの注文確認・予約完了メールを探すと、手がかりになります。

予約サイトだけ使った人：連絡先の悪用が中心です。なりすましの電話・SMS・メールに警戒してください
通販（E-STORES・Remo Order）を使った人：上に加えて、カード明細に身に覚えのない請求がないかを確認し、カード会社を名乗る連絡にも警戒してください
パスワード：漏えいが確認されていない現時点では、変更は予防的な行動です。ただしハッシュ化の有無は確認できておらず、メールアドレスは漏えい項目に含まれるため、他サービスでの試行ログインの材料になりうると編集部ではみています。同じパスワードを使い回しているなら、そちらを替えることを優先してください。公式が変更を推奨しているかは確認できていません

窓口は次のとおりです。