阪急阪神百貨店の予約サイトに不正アクセス。「H2O ID」約126万件の氏名・住所・電話番号などが漏えい

01発表されている事実

1. 10月16日（金）

   予約サイト経由で顧客管理システムへの不正アクセスを確認。不正な通信を遮断し、予約サイトのシステム全体を停止

2. 10月17日（土）

   HANKYU HANSHIN E-STORES と Remo Order でも不正アクセスを確認し、両サイトを停止

3. 10月19日（月）

   H2O ID約126万件の個人情報の一部の漏えいが判明し、公表。個人情報保護委員会への報告と警察への被害申告は確認後すぐに実施

4. 10月30日

   第2報。予約サイトの入力フォームの内容6,243件（予約総数188,590件の約3％）の漏えいが新たに判明。E-STORES と Remo Order からの漏えいは確認されず

漏えいしたH2O IDの情報は、H2O ID、氏名（漢字・カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDで使っているサービスの項目です。第1報の時点では、本件による不正利用や二次被害は確認されていないとしています。

通販の E-STORES と Remo Order は、カード番号の下4桁や名義、有効期限、注文履歴などを持っていますが、第2報で「お客さま情報」の外部への漏えいは確認されなかったと発表しました。同社はカード番号の全桁とセキュリティコードを持っておらず、ログインパスワードの漏えいも確認されていません。

02読者への影響

阪急・阪神の百貨店でH2O IDを作った人は、ほぼ全員が対象と考えてください。氏名・住所・電話番号・生年月日がそろって漏れているため、百貨店や配送業者、カード会社を名乗る、本物らしい連絡が届きやすくなります。電話番号があるので、SMSや電話での詐欺にも注意が必要です。

イベントの予約フォームに参加者の情報を書いた人は、その内容（6,243件）も漏れている可能性があります。家族や同行者の名前を書いた場合は、その人にも伝えておくと安心です。

03今すぐやること

1. 百貨店をかたるメール・SMSのリンクは開かない。同社からの案内は noreply@h2o-retailing.co.jp から届くとしているので、それ以外の差出人は疑う
2. 「ポイントが失効する」「返金がある」などで個人情報やカード番号を求める連絡には答えず、公式サイトや専用窓口（第2報の案内：0120-220-693、0120-600-213、0120-213-940、午前10時〜午後8時）で確かめる
3. H2O IDと同じパスワードをほかで使っているなら、念のため別々のものに変える
4. 家族の分も含め、身に覚えのない電話や郵便物が増えていないか、しばらく気にかける

04同じことを防ぐには（会社の方へ）

今回の入口は、会員情報そのものではなく、それとつながる予約サイトでした。共通IDで多くのサービスを束ねている会社は、入口のサイトが1つ破られると全会員に広がります。予約やキャンペーンのような小さなサイトほど脆弱性診断やWAFの対象から漏れがちです。図鑑の「Webサイトへの攻撃」の入口では、診断の頼み先やWAFの選び方をまとめています。

05今後の発表

同社は詳細調査とシステムの総点検を続け、阪急阪神百貨店の一部サービスを停止しています。新たな事実が判明したら公表するとしています。