エイチ・ツー・オー リテイリング（H2O）は10月19日、子会社の阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店予約サイト」などに第三者による不正アクセスがあり、「H2O ID」の会員約126万件の個人情報の一部が漏えいしたと発表した。調査は続いているが、ほぼ全てのH2O ID会員の情報が漏えいしたという。
16日に予約サイトを経由した顧客管理システムへの不正アクセスを確認し、外部からの不正な通信を遮断するなどの緊急措置を取ったうえで、同サイトのシステム全体を停止した。17日には「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、同日に両サイトのシステム全体を止めた。その後の調査で、19日に顧客管理システムで管理するH2O IDのうち約126万件の漏えいが判明した。
漏えいした情報には、H2O ID、氏名、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDで利用しているサービスの項目が含まれる。
クレジットカード番号は全桁を保持せず
「HANKYU HANSHIN E-STORES」と「Remo Order」については、漏えいの可能性を調べている。両サービスは、商品の注文履歴、クレジットカード情報の一部（カードの種類、番号の下4桁、名義、有効期限）、ポイントカード情報の一部（カードの種類、番号の下4桁）、アドレス帳の情報を保持している。決済情報の非保持化に対応しており、クレジットカード番号の全桁とセキュリティコードは持っていないため、不正利用のおそれはないとしている。ポイントカードも番号の下4桁しか保持しておらず、保有ポイントを不正に使われるおそれはないという。ログインパスワードの漏えいも確認していない。
現時点で、不正利用や二次被害は確認していない。同社は個人情報保護委員会に報告し、所轄の警察署に被害を申告した。原因の究明とセキュリティの脆弱性の解析を進めるとともに、同様の手口による被害の拡大を防ぐ措置を終えた。H2O IDの会員には電子メールで順次連絡している。
停止中のサイトは、原因の究明と脆弱性の修正を終え、安全を確認でき次第、再開する。再開はホームページで知らせる。
本件に関する問い合わせは、フリーダイヤル（0120-110-256、0120-369-089、午前10時〜午後8時）と問い合わせフォームで受け付ける。H2O IDに登録したメールアドレスや電話番号あてに、同社を装った不審なメールやSMS、電話が届く可能性があるとして注意を呼びかけている。同社からの案内は「noreply@h2o-retailing.co.jp」から送るとしている。
30年度に1000万人を目指す共通ID
H2O IDは、百貨店や食品スーパー、オンラインなどグループのサービスを横断する共通のログイン基盤として、2023年に導入が始まった。H2Oは9月、会員数が8月末時点で100万件を突破したと発表し、9月30日には「阪急阪神百貨店アプリ」の利用を始めた。30年度に会員数1000万人を見込み、蓄積した顧客データを外部企業や自治体向けに活用する事業にも取り組むとしていた。
