事案の概要データ
| 公表日 | 2026年10月19日 |
|---|---|
| 不正アクセスの確認 | 2026年10月16日（予約サイト経由で顧客管理システムへ） |
| 対象の拡大確認 | 2026年10月17日（E-STORES・Remo Orderでも確認） |
| 漏えいの判明 | 2026年10月19日 |
| 漏えい | H2O ID 約126万件の個人情報の一部 |
| 調査中 | E-STORES／Remo Order の注文履歴、カード下4桁、アドレス帳（126万件とは合算しない） |
| 対象外 | クレジットカードの全桁とセキュリティコードは非保有 |
| 原因 | 原因究明・脆弱性の解析を調査中。具体的な手口は未公表 |
図解：この事故の構造
何が起きたのか
エイチ・ツー・オー リテイリングと阪急阪神百貨店は2026年10月19日、共通ID「H2O ID」約126万件の個人情報の一部が漏えいしたことを公表しました。
経緯は段階的です。10月16日に予約サイトを経由して顧客管理システムへの不正アクセスを確認し、サービスを停止。17日にはE-STORESとRemo Orderでも不正アクセスが確認され、19日に漏えいが判明しました。
E-STORESとRemo Orderの注文履歴、カード番号の下4桁、アドレス帳については調査中で、126万件とは別に扱われています。クレジットカードの全桁とセキュリティコードは保有しておらず対象外です。
「共通ID」が持つリスク
H2O IDは、グループ各社のサービスを1つのIDで使えるようにする共通IDです。百貨店、スーパー、ECサイト——どれを使うときも同じIDでログインできます。
利用者にとっては便利な仕組みですが、裏を返せば「1つのIDに、グループ全体の利用情報が集約されている」ということでもあります。そして、どれか1つのサービスから侵入されれば、共通IDの基盤に到達される可能性があります。
この事案では、入口が「予約サイト」でした。百貨店の本体システムではなく、周辺のサービスです。そこから顧客管理システムへ到達されています。
2026年10月はこの構図が繰り返されました。9月29日のセイコーマート（アプリ用サーバーを踏み台に会員情報サーバーへ）、10月8日のローソンなど、「周辺のサービスから中核へ」という経路です。
共通IDを導入する場合は、各サービスから共通ID基盤へのアクセスを必要最小限に絞ることが重要になります。
確認から3日で漏えいを公表した
10月16日に不正アクセスを確認し、19日に漏えいを公表。3日間です。
2026年10月の事案を見ると、この速さは上位に入ります。ローソンは侵入から判明まで約3週間、バーガーキングは不正アクセス終了から判明まで6日かかりました。
早く公表することで、対象者はパスワード変更などの自衛を早く始められます。「調査が終わってから」ではなく「判明したことから順次」出す姿勢です。
一方で、原因と手口はまだ公表されていません。調査が続いているため、続報を待つ必要があります。
時系列で見る経過
- 2026年10月16日予約サイト経由で顧客管理システムへの不正アクセスを確認し、サービスを停止
- 2026年10月17日E-STORES・Remo Orderでも不正アクセスを確認
- 2026年10月19日H2O ID 約126万件の個人情報の一部の漏えいが判明し、公表
- 2026年10月19日以降原因究明と脆弱性の解析を継続。注文履歴・カード下4桁・アドレス帳は調査中
中小企業が学ぶべきポイント
- 共通IDは便利な分、1つのサービスから侵入されると基盤全体に到達されうる。
- 各サービスから共通ID基盤へのアクセスを必要最小限に絞る。
- 入口は本体システムではなく「周辺のサービス」になりやすい。予約・キャンペーンなども守る。
- 「調査が終わってから」ではなく「判明したことから順次」公表する。対象者が早く自衛できる。
- カード全桁とセキュリティコードを保有しない設計が、被害の範囲を限定した。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。