阪急百貨店・阪神百貨店のサービスで使う、グループ共通のID「H2O ID」の会員情報が漏れたと、2026年10月19日にエイチ・ツー・オー リテイリングと阪急阪神百貨店が発表しました。漏れたのは約126万件（ほぼすべての会員）の名前・住所・電話番号・生年月日などです。
H2O IDは、Sポイントが貯まる阪急オアシス・イズミヤ・関西スーパーと同じグループのIDです。この記事では、何が漏れて何が漏れていないのか、いまやること、関西のスーパーでの買い物やSポイントとの関係を、公式の発表をもとにまとめました。
2026年10月20日の朝に、公式の発表（10月19日）で確かめた内容です
調べている途中のことがあり、これから新しい発表が出るかもしれません。新しいことが分かったら、この記事も書き足します。
この記事のポイント
- 漏れたのは、H2O ID会員 約126万件の名前・性別・メールアドレス・住所・電話番号・生年月日など
- カード番号の全部とセキュリティコードは、もともと持っていないので、カードを勝手に使われるおそれはない（公式）
- ポイントカードは下4けただけなので、ポイントを勝手に使われるおそれもない（公式）
- いちばん気をつけたいのは、会社を名乗る偽のメール・SMS・電話。公式のメールの送り主は noreply@h2o-retailing.co.jp だけです
- 同じメールアドレス・同じパスワードをほかでも使っている方は、サービスごとに別のパスワードに。二段階認証やパスキーも使えるところは使うと安心です（なにとくからの目安）
- 阪急オアシス・イズミヤ・関西スーパーでの支払い方が変わる、という発表はありません
何が起きた？
公式の発表によると、阪急阪神百貨店が運営する3つのサイトに、外から不正なアクセスがありました。
| 日付 | 起きたこと |
|---|---|
| 10月16日（金） | 「阪急百貨店・阪神百貨店予約サイト」を通って、お客さまの情報を管理するしくみに不正なアクセスがあったと分かり、予約サイトを止めた |
| 10月17日（土） | 通販の「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正なアクセスが分かり、2つのサイトを止めた |
| 10月19日（月） | 調べた結果、H2O IDの約126万件の情報が漏れたと分かり、発表した |
会社は、個人情報保護委員会に報告し、警察にも届け出ています。3つのサイトは、安全が確かめられるまで止めたままで、再開するときはホームページで知らせるとしています。発表の時点で、この件による不正な利用や、ほかの被害は確認されていないそうです。
漏れた情報・漏れていない情報
発表では、漏れた情報と、漏れたかどうかを調べている情報が分けて書かれています。
| 情報 | どうなった？ |
|---|---|
| H2O ID・名前（漢字とカナ）・性別・メールアドレス・郵便番号・住所・携帯電話の番号・電話番号・年齢・生年月日・H2O IDで使っているサービス | 漏れた（約126万件。ほぼすべてのH2O ID会員） |
| 通販（E-STORES）・Remo Orderの注文の記録・アドレス帳 | 漏れたかどうか、調べている途中 |
| クレジットカードの種類・番号の下4けた・名義・有効期限 | 漏れたかどうか、調べている途中 |
| ポイントカードの種類・番号の下4けた | 漏れたかどうか、調べている途中 |
| クレジットカードの番号の全部・セキュリティコード | もともと持っていない |
| ログインのパスワード | 漏れたことは確認されていない |
2026年10月20日に、エイチ・ツー・オー リテイリングの発表（10月19日）で確認しました。
カードは止めなくていい？
会社は、カード番号の全部とセキュリティコードは一切持っていないので、「不正に利用されるおそれはございません」と書いています。調べている途中なのは、番号の下4けた・名義・有効期限までです。このため、発表の時点では、カードを止めたり作り直したりすることは求められていません。
ただ、名前やメールアドレスと「カードの下4けた」がそろうと、本物らしく見える偽のメールが作りやすくなります。カードの明細に見覚えのない支払いがないかを、いつもより少していねいに見ておくと安心です。
Sポイントは使われてしまう？
会社が持っているポイントカードの情報は番号の下4けただけなので、「保有ポイントを不正に利用されるおそれはございません」としています。Sポイントそのものが漏れた、という発表はありません。
H2O IDってなに？自分は対象？
H2O IDは、エイチ・ツー・オー リテイリングのグループで使う共通の会員IDです。2026年8月の末に会員が100万人を超えたと、9月9日に発表されていました。
- 阪急阪神百貨店アプリ（2026年9月30日から）：アプリで会員証やポイントカードを使うときに、H2O IDを登録します
- 通販・予約サイト（E-STORES・予約サイト・Remo Order）
- 高槻市の「まちうま」など、グループの地域のサービス
9月9日の発表では、百貨店のこれまでの会員のしくみからH2O IDへ移したことにも触れています。自分で登録した覚えがなくても、百貨店の通販などを使っていた方は対象かもしれません。
会社は、H2O IDの会員にメールで順に知らせるとしています。noreply@h2o-retailing.co.jp からのメールが届いたら、対象と考えてよさそうです。分からないときは、下の窓口で確かめるのが確実です。
阪急オアシスで、いちばんお得な支払い方は？
ふだんの支払い方を選ぶだけで、1年でもどってくる目安が分かります →
いまやること
1. 会社を名乗る偽のメール・SMS・電話に気をつける
会社がいちばん注意をよびかけているのは、ここです。漏れたメールアドレスや電話番号に、阪急・阪神百貨店やH2Oを名乗る偽のメール・SMS・電話が来るかもしれません。公式のメールの送り主は noreply@h2o-retailing.co.jp だけです。ほかの送り主から「お詫び」「確認」などの連絡が来ても、開かずに消してください。
2. メールやSMSのリンクから、パスワードやカード番号を入れない
本物そっくりのページに案内して、パスワードやカード番号を入れさせる手口がよくあります。確かめたいときは、届いたリンクではなく、ブックマークや検索から公式のページを自分で開いてください。
3. 同じメールアドレス・同じパスワードの使い回しを見直す
パスワードは漏れていないと発表されていて、会社もパスワードの変更は求めていません。ただ、今回はメールアドレスが漏れています。悪い人は、漏れたメールアドレスに、別のところから手に入れたパスワードを組み合わせて、いろいろなサービスにログインを試すことがあります（「リスト型攻撃」と呼ばれます）。
次のような方は、この機会に見直しておくと安心です（ここから下は、なにとくからの目安です）。
- H2O IDと同じメールアドレスで、同じパスワードを、ほかのサービスでも使っている方は、そちらのパスワードをサービスごとに別のものに変えておく
- 通販・ポイント・カード会社のサイトなど、お金やポイントに関わるサービスから先に見直す
- パスワードを覚えきれないときは、スマホやブラウザのパスワード管理の機能を使うと、サービスごとに別のパスワードにしやすくなります
4. 二段階認証・パスキーを使えるところは使う
パスワードが知られても入られにくくするには、二段階認証（ログインのときに、SMSやアプリに届く番号もあわせて入れるしくみ）を設定しておくのがおすすめです。カード会社・通販・メールのサービスなど、多くのサービスで設定できます。
さらに、最近はパスキーに対応するサービスも増えています。パスキーは、パスワードの代わりに、スマホの顔認証・指紋認証や画面ロックでログインするしくみです。パスワードを入れないので、偽のページにだまされて入力してしまう心配も少なくなります。使っているサービスの「設定」や「セキュリティ」の画面に、二段階認証やパスキーの項目がないか見てみてください。
H2O IDで二段階認証やパスキーが使えるかは、今回の発表には書かれていませんでした。
5. 心配なときは窓口へ
| 窓口 | 内容 |
|---|---|
| 電話（無料） | 0120-110-256 または 0120-369-089 |
| 受付の時間 | 毎日 午前10時から午後8時まで |
| お問い合わせフォーム | H2O IDのお問い合わせ |
関西のスーパーでの買い物・Sポイントはどうなる？
H2Oのグループには、阪急オアシス・イズミヤ・関西スーパーなどのスーパーもあります。今回止まったのは百貨店の予約サイト・通販・Remo Orderの3つで、スーパーのお店での買い物や支払い方が変わる、という発表はありません。
- レジでSポイントカードを見せて、いつもの支払い方で支払うことは、発表の中では何も変わっていません
- 9月9日の発表では、食品スーパーのアプリは来年の春に公開する予定とされていて、いまはまだありません。スーパーの買い物でH2O IDを使う場面は、いまのところ少なそうです
- 阪急・阪神百貨店のお店での支払いも、変わるという発表はありません（通販・予約サイト・Remo Orderは止まっています）
お店ごとの支払い方とSポイントの貯め方は、それぞれの記事で比べています。
| お店 | 記事 |
|---|---|
| 阪急オアシス | 阪急オアシスの支払い方法まとめ |
| イズミヤ | イズミヤの支払い方法まとめ |
| 関西スーパー | 関西スーパーの支払い方法まとめ |
| 阪急百貨店（デパ地下） | 阪急百貨店のデパ地下の支払い方法 |
| 阪神百貨店（デパ地下） | 阪神百貨店のデパ地下の支払い方法 |
Sポイントのしくみや使い道は、Sポイントとは？貯め方と使い方にまとめています。
よく行くスーパーで、お得な支払い方を調べる
お店と支払い方を選ぶだけの、かんたん診断 →
よくある質問
カードを止めたほうがいいですか？
会社はカード番号の全部とセキュリティコードを持っていないので、「不正に利用されるおそれはございません」としています。発表の時点では、止める必要はなさそうです。明細に見覚えのない支払いがあったときは、カード会社に連絡してください。
Sポイントがなくなっていないか心配です
会社が持っていたポイントカードの情報は番号の下4けただけで、ポイントを勝手に使われるおそれはないとしています。気になる方は、いつものアプリや会員ページでポイントの残りを確かめておくと安心です（届いたメールのリンクからではなく、自分で開いてください）。
「お詫びのポイント」や「返金」のメールが来ました
送り主が noreply@h2o-retailing.co.jp でなければ、偽のメールのおそれがあります。リンクを押さずに、窓口（0120-110-256 または 0120-369-089）で確かめてください。
パスワードは変えたほうがいいですか？
H2O IDのパスワードは漏れたことが確認されておらず、会社も変更は求めていません。ただ、メールアドレスは漏れているので、同じメールアドレスと同じパスワードをほかのサービスでも使っている方は、そちらを別のパスワードに変えておくと安心です。あわせて、二段階認証やパスキーを使えるサービスでは設定しておくと、パスワードが知られても入られにくくなります（なにとくからの目安です）。
通販や予約サイトはいつ使えるようになりますか？
発表の時点では決まっていません。原因を調べて直し、安全が確かめられたら再開して、ホームページで知らせるとしています。
まとめ
H2O IDの会員 約126万件の名前・住所・電話番号などが漏れましたが、カード番号の全部やポイントは、勝手に使われるおそれはないと発表されています。いま大事なのは、会社を名乗る偽のメール・SMS・電話に気をつけることです。公式の送り主は noreply@h2o-retailing.co.jp だけと覚えておいてください。あわせて、パスワードの使い回しを見直し、二段階認証やパスキーを使えるところは使っておくと、より安心です。
阪急オアシス・イズミヤ・関西スーパーでの買い物や支払い方が変わる、という発表はありません。新しい発表が出たら、この記事に書き足します。
ほかのお店の支払い方法を探す
使える支払い方をお店ごとに見られる、お店さがし →
参考にした公式ページ
- エイチ・ツー・オー リテイリング・阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日の発表。2026年10月20日に確認）
- エイチ・ツー・オー リテイリング「グループ共通ID『H2O ID』が100万会員を突破」（2026年9月9日の発表。2026年10月20日に確認）
- 阪急阪神百貨店・エイチ・ツー・オー リテイリング「『阪急阪神百貨店アプリ』9月30日サービス開始」（2026年9月9日の発表。2026年10月20日に確認）
この記事へのコメント