ほぼ全会員が対象。ただしカード番号は持っていなかった

• 約126万件。公式は「ほぼ全ての会員」と書いている
• カード番号の全桁とセキュリティコードは保持していない
• パスワードの漏えいも確認されていない

阪急阪神百貨店で不正アクセスがあり、H2O ID の会員約126万件の個人情報の一部が漏えいしたと発表された。

報道では「クレジットカード情報の一部」が漏れたように読める見出しがあった。公式の書き方は違うので、そこを分けて整理する。

何が漏れたか

対象は3つのサイトだ。予約サイト、HANKYU HANSHIN E-STORES、Remo Order。

確定しているのは、予約サイト経由ぶんになる。

現在調査中ですが、ほぼ全ての「H2O ID」会員の個人情報の一部が漏えいしました。

項目はこうだ。

• H2O ID、氏名（漢字とカナ）、性別
• メールアドレス、郵便番号、住所
• 携帯電話番号、電話番号
• 年齢、生年月日
• H2O ID での利用サービス項目

生年月日と住所と電話番号が揃っている。本人確認の材料になりやすい組み合わせだ。

カード情報の書き方は、かなり限定的

ここが報道と差が出るところだ。E-STORES と Remo Order については、まだ漏えいしたとは書かれていない。

漏えいの可能性については現在調査中ですが、同サービスでは以下の情報を保持しております。

つまり「漏れた項目」ではなく「持っている項目」の説明だ。そして、その中身がこうなっている。

公式はこう書いている。

当社では決済情報の非保持化に対応しており、クレジットカード番号全桁およびセキュリティコードは一切保持しておりませんので、不正に利用されるおそれはございません。

ポイントカードも下4桁のみ。そしてログインパスワードの漏えいも確認されていないとある。

「持たない」が効いている

これは今月くり返し出てきた話だ。

免許証の画像を持たないことにした件でも書いたが、持っていなければ漏れない。いちばん強い答えになる。

逆の例もあった。「カード番号は含まれない」が後から覆った件では、消し忘れたログに8年分が残っていた。

非保持化は仕組みとして持たないことなので、後から覆りにくい。ただし今回も調査は継続中なので、断定はしない。

経緯

確認した当日に止めている。2回とも同日だ。この点は速い。

報告も済んでいる。個人情報保護委員会への報告と、所轄警察署への被害申告を実施したとある。

いいと思った点：送信元アドレスを書いている

お願いの部分に、こうあった。

当社からお客さまへお送りする案内の送信元メールアドレスは noreply@h2o-retailing.co.jp となります。これ以外の送信元からの連絡にはご注意ください。

本物の条件を先に出している。これは珍しいし、効く。

漏えいの後は偽の案内が必ず来る。そのとき「怪しいものに注意」とだけ言われても判断できない。本物はこれ、と書いてあれば照らせる。

見分け方は漏えいの後に届く「お詫びとお知らせ」に書いた。差出人を確認するのが基本になる。

会員がやること

1. 差出人を見る。公式が挙げた以外のアドレスからの案内は開かない
2. 電話と郵便にも用心する。住所と電話番号が出ている
3. カードの明細は一応見る。番号は持たれていないが、習慣として
4. 慌ててパスワードを変える必要はない。漏えいは確認されていない

4番目は書いておきたい。やらなくていいことを増やさないのも大事だ。ただし他社と同じパスワードを使っているなら、それは今回と関係なく変える。

まとめ

• 対象は予約サイト、E-STORES、Remo Orderの3つ
• 確定しているのはH2O ID 約126万件。ほぼ全会員
• 項目に住所、電話番号、年齢、生年月日が含まれる
• E-STORES と Remo Order はまだ調査中。「持っている項目」の説明にとどまる
• カード番号の全桁とセキュリティコードは保持していない（非保持化）
• パスワードの漏えいも確認されていない
• 10月16日と17日、いずれも確認した当日に停止
• 公式が正規の送信元アドレスを明示している

出典

• 阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（PDF）（2026年10月19日。対象サービス、件数と項目、非保持化の説明、経緯の日付、送信元アドレス）
• エイチ・ツー・オー リテイリング「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（同日）

本記事は2026年10月20日時点の公表内容に基づく。E-STORES と Remo Order 経由の漏えいは調査中であり、今後変わる可能性がある。最新の情報は公式の告知で確認すること。本記事は法的な助言ではない。