HACKING CASE ・ 調査中 ・ 2026年10月30日の公式発表（第2報）時点
root@se-curity:~/hacking$ cat ./jirei/h2o-retailing.md
エイチ・ツー・オー リテイリング株式会社 ・ 小売（百貨店・食品スーパー・商業施設など）
阪急阪神百貨店の予約サイトから顧客管理システムに不正アクセス。「H2O ID」約126万件の氏名・住所・電話番号などが漏えい
使っていた人が、いますぐやること
百貨店を名乗るメールやSMSのリンクを開かない。会社からの案内は noreply@h2o-retailing.co.jp から届くとしている
フォームに家族や同行者の名前を書いたなら、その人にも不審な連絡に気をつけるよう伝える
ポイントや返金を口実に個人情報やカード番号を聞く連絡に答えず、公式サイトや専用の窓口で確かめる。同じパスワードをほかで使っていれば変える
H2O ID約126万件（ほぼ全ての会員）。予約フォームの入力内容6,243件
カード番号の全桁とセキュリティコード（もともと持っていない）。ログインパスワードの漏えいも確認されていない
システムの総点検中で、阪急阪神百貨店の一部サービスを止めている。第1報の時点で不正利用や二次被害は確認されていない
2026年10月16日、阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店 予約サイト」を経由して、顧客管理システムに第三者が不正にアクセスしました。共通の会員ID「H2O ID」約126万件の個人情報の一部が漏れ、会社は「ほぼ全てのH2O ID会員」が対象だとしています。10月30日の第2報では、予約サイトの入力フォームの内容6,243件の漏えいも分かりました。通販の2つのサイトからの漏えいは確認されていません。
第三者が予約サイトを経由して、顧客管理システムに入り込んだ
H2O ID約126万件の氏名・住所・電話番号などが漏れた
予約フォームに書かれた参加者などの情報6,243件も漏れていた
不正な通信を遮断し、予約サイトなど3つのサイトを止めた
10月17日、2つのサイトでも不正アクセスが見つかった
同じ日に2つのサイトのシステム全体を止めた
第2報で、お客さま情報の外への漏えいは確認されなかったとした
手口第三者が「阪急百貨店・阪神百貨店 予約サイト」を経由して、会員を管理する顧客管理システムに不正にアクセスしました。会社は原因とセキュリティの弱点（脆弱性）を調べているとしていますが、どんな手口だったかは公表されていません。
手口予約サイトの翌日に、2つのサイトでも不正アクセスが確認されました。手口は公表されていません。第2報では、お客さま情報の外への漏えいは確認されなかったとしています。
予約サイト経由で顧客管理システムへの不正アクセスを確認。不正な通信を遮断し、サイトのシステム全体を停止
不正アクセスを確認し、両サイトのシステム全体を停止
H2O ID約126万件の個人情報の一部が漏れたと判明し、公表。個人情報保護委員会への報告と警察への被害申告は確認後すぐに実施
第2報。予約フォームの入力内容6,243件の漏えいが新たに分かった
第2報。お客さま情報の外への漏えいは確認されなかった
不正な通信を遮断し、3つのサイトのシステム全体を止めた
対象サービスのホームページと機能について、同じ手口による新しい被害を防ぐ措置を終えた
個人情報保護委員会に報告し、警察署に被害を申告した
H2O IDの会員に、メールで順に連絡（送信元は noreply@h2o-retailing.co.jp）
外部の専門機関と原因や弱点を調べ、システムの総点検をしている。安全を確かめてからサービスを再開する
関西を中心に、百貨店、食品スーパー、商業施設、専門店やコンビニなどを展開する会社グループの持株会社です。阪急百貨店と阪神百貨店は、子会社の阪急阪神百貨店が運営しています。
事業
今回の事故が起きたグループの会社
出典：会社の公式サイト「会社概要」
このページは、会社の公式発表と適時開示だけをもとに作っています（2026年10月30日の公式発表（第2報）時点、2026年11月4日更新）。被害を受けた会社を責めるものではありません。誤りに気づいたらお問い合わせからお知らせください。
何から始めればいいか分からないときは