H2O IDの個人情報漏えい（約126万件）：阪急百貨店・阪神百貨店予約サイト経由の不正アクセスで、住所・電話番号・生年月日などが漏れた会員がやること

漏えいした項目には、氏名（漢字カナ）、住所、郵便番号、携帯電話番号、電話番号、メールアドレス、生年月日、年齢が含まれています。これに「H2O IDでのご利用サービス項目」が加わると、宛名も住所も正しく、使っているサービスにも触れた、本物らしい連絡が作れます。

同社は、H2O IDに登録したメールアドレスや電話番号あてに、同社を装った不審なメール・SMS・電話が来る可能性があるとして、身に覚えのない連絡や不審なURLに注意するよう呼びかけています。「お詫びのポイント付与」「予約の確認」「注文の返金」といった名目（当サイトの例）でも、本文のリンクは開かず、自分で開いた公式サイトで確かめてください（見分け方は フィッシングとは）。

同社は、H2O ID会員に電子メールで順次連絡するとしています。案内の送信元は noreply@h2o-retailing.co.jp で、これ以外の送信元からの連絡には注意するよう求めています。

ただし、メールの送信元の表示は偽装できます。この送信元から届いたように見えても、メール内のリンクからログインや入力はしない、という扱いにそろえておくと迷いません。内容を確かめたいときは、自分で開いた公式サイトか、下の窓口を使います。

同社によれば、今回は住所と電話番号もそろって漏えいしています。偽の連絡はメールやSMSに限らず、電話や郵便で来ることもあります。

相手が氏名・住所・生年月日を正しく言えても、それだけで本物とは判断しません。暗証番号、パスワード、カード番号、認証コードを電話で聞かれたら、いったん切って、自分で調べた公式の番号にかけ直します。

生年月日は、メールアドレスや電話番号と違って変えられません。今回、氏名・住所と組み合わせた形で漏えいしました。

銀行やクレジットカードの暗証番号、スマホの画面ロック、各種サービスのパスワードに生年月日（「0815」「19900815」など）を使っているなら、今のうちに変えておきます。これは同社の案内ではなく、当サイトの一般的な助言です。

発表には「ログインパスワードの漏えいも確認されておりません」とあり、パスワードの変更を求める記載はありません。ただし、これは調査が続いている段階の表現です。

一般に、どこか1つのサービスからパスワードが漏れると、同じメールアドレスとパスワードの組み合わせで他のサービスへのログインを試される被害につながります。H2O IDと同じパスワードを他でも使っているなら、この機会に分けておきます。棚卸しは パスワードマネージャー に任せるのが現実的です。使い回しているパスワードが過去の漏えいに含まれていないかは パスワード漏えいの確認方法 で調べられます。

同社は、本件の問い合わせ先として、フリーダイヤル 0120-110-256 または 0120-369-089（各日午前10時〜午後8時）と、お問い合わせフォーム（https://h2o-id.h2o-retailing.co.jp/web/contact ）を案内しています。阪急阪神百貨店のお知らせでは、この電話窓口を「阪急阪神百貨店特設コールセンター」としています。問い合わせ先は、届いた連絡に書かれたものではなく、公式サイトのお知らせに載っているものを使います。

発表によれば、予約サイトを経由して顧客管理システムへの不正アクセスがあり、そのシステムで管理しているH2O IDのほぼ全会員の情報の一部が漏えいしました。一般に、共通の会員IDを使う構成では、1つのサービスの入口から、そのサービスを使っていない会員の情報にまで届くことがあります。

自分の構成でも、サービスごとに「顧客管理システムのどの項目を、何件まで、読み書きできるか」を表にします。予約サイトに必要なのが予約者本人の情報だけなら、他の会員の住所や生年月日まで読める権限は持たせない、という見直しの出発点になります。

同社によれば、決済情報の非保持化に対応しており、カード番号の全桁とセキュリティコードは保持していません。システムに無いものは漏れない、という一般的な考え方の例です（カード番号を持たなくても入力画面の改ざんで盗まれる例は PhotoGoodsの事案）。

また今回の発表は、案内メールの送信元アドレスを明記しています。会員が本物の案内を見分ける手がかりになるため、事故が起きる前に重要な連絡に使う送信元を決めて公開し、送信ドメイン認証を設定しておきます（なりすましメールを防ぐSPF・DKIM・DMARC）。