대상: H2O ID를 가진 분(한큐·한신 백화점 예약 사이트, HANKYU HANSHIN E-STORES, Remo Order 이용자 포함), 그리고 여러 서비스에서 공용으로 쓰는 회원 ID를 운영하는 모든 분. 이 글은 H2O리테일링 주식회사와 주식회사 한큐한신백화점의 공식 공지를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.
진행 중: 회사가 추가 내용을 발표하는 대로 이 글을 업데이트합니다
2026년 10월 20일 기준아직 알 수 없음
- 무단 접근의 자세한 원인(분석 및 조사 중)
- HANKYU HANSHIN E-STORES와 Remo Order에서 정보가 유출되었는지 여부(주문 이력, 카드 정보 일부, 포인트카드 정보 일부, 주소록)
- 126만 건이 실제로 몇 명을 가리키는지
- 예약 사이트와 Remo Order가 언제 재개되는지
- 재발 방지 조치의 구체적 내용
회사는 조사에서 공개해야 할 새로운 사실이 확인되면 자사 웹사이트에서 신속하게 공개하겠다고 밝혔습니다. 원인이 파악되고 취약점이 수정되며 안전이 확인되면 서비스를 재개할 계획이며, 재개 여부는 웹사이트에 공지하겠다고 합니다. 10월 20일 기준 H2O리테일링의 뉴스 목록에는 이번 사고와 관련된 후속 내용이 없습니다.
H2O ID 회원이 오늘 해야 할 일
한큐, 한신 또는 H2O를 사칭한 이메일, 문자, 전화의 링크나 지시를 따르지 마십시오
유출된 항목에는 이름(한자 및 가타카나), 주소, 우편번호, 휴대전화 및 일반 전화번호, 이메일 주소, 생년월일, 나이가 포함됩니다. 여기에 'H2O ID로 이용한 서비스'가 더해지면, 사기범은 정확한 이름과 주소를 적고 실제로 이용하는 서비스까지 언급한 메시지를 보낼 수 있습니다.
회사는 자사를 사칭한 의심스러운 이메일, 문자, 전화가 H2O ID에 등록된 이메일 주소와 전화번호로 올 수 있다고 경고하며, 예상치 못한 메시지와 의심스러운 URL을 주의하라고 요청하고 있습니다. '포인트 사과', '예약 확인', '주문 환불'(이 사이트의 예시)처럼 어떤 내용이든 링크를 열지 마십시오. 직접 공식 사이트를 열어 확인하십시오(피싱이란? 참고).
회사가 보낸 공지 메일이라도 링크를 통해 행동하지 마십시오
회사는 H2O ID 회원에게 순차적으로 이메일을 보내고 있다고 밝혔습니다. 공지 메일은 noreply@h2o-retailing.co.jp에서 발송되며, 회사는 그 밖의 발신자가 보낸 메시지에 주의하라고 요청합니다.
다만 발신자 이름은 위조될 수 있습니다. 해당 주소에서 온 것처럼 보여도 한 가지 원칙을 지키십시오. 이메일의 링크를 통해 로그인하거나 무언가를 입력하지 마십시오. 공지 내용을 확인하려면 직접 여는 공식 사이트나 아래의 연락처를 이용하십시오.
본인 확인을 요구하는 우편과 전화를 조심하십시오
회사에 따르면 주소와 전화번호가 함께 유출되었습니다. 가짜 연락은 이메일이나 문자뿐 아니라 전화나 우편으로도 올 수 있습니다.
이름, 주소, 생년월일을 정확히 말한다고 해서 그것만으로 진짜라고 증명되지는 않습니다. 전화로 PIN, 비밀번호, 카드 번호 또는 인증번호를 요구하면 전화를 끊고, 직접 찾은 공식 번호로 다시 거십시오.
생년월일을 PIN이나 비밀번호로 쓰고 있다면 변경하십시오
이메일 주소나 전화번호와 달리 생년월일은 바꿀 수 없으며, 이번에는 이름, 주소와 함께 유출되었습니다.
은행이나 카드의 PIN, 휴대폰 잠금 화면 또는 기타 비밀번호가 생년월일(예: "0815" 또는 "19900815")을 기반으로 한다면 지금 변경하십시오. 이것은 이 사이트의 일반적인 조언이며, 회사의 안내가 아닙니다.
다른 서비스와 같은 비밀번호를 쓰고 있다면 분리하십시오
공지에 따르면 로그인 비밀번호 유출은 확인되지 않았으며, 회원에게 비밀번호 변경을 요청하지도 않았습니다. 이 표현은 조사가 아직 진행 중이라는 점을 반영합니다.
일반적으로 한 서비스에서 비밀번호가 유출되면, 공격자는 같은 이메일과 비밀번호 조합을 다른 서비스에 시도합니다. H2O ID 비밀번호를 다른 곳에서도 쓰고 있다면 지금 분리하십시오. 이를 실천하는 현실적인 방법은 비밀번호 관리자를 쓰는 것입니다. 재사용한 비밀번호가 과거 유출 목록에 있는지 확인하려면 비밀번호 유출 여부 확인 방법을 참고하십시오.
공지에 기재된 연락처만 이용하십시오
회사는 이번 사고에 관한 문의를 위해 무료 전화 0120-110-256 또는 0120-369-089(매일 일본 시간 10:00~20:00, 무료 전화는 일본 국내에서만 이용 가능)와 문의 양식(https://h2o-id.h2o-retailing.co.jp/web/contact )을 안내하고 있습니다. 한큐한신백화점의 공지는 이 전화를 '전용 콜센터'라고 부릅니다. 받은 메시지에 적힌 연락처가 아니라 공식 사이트의 공지에 있는 연락처를 이용하십시오.
무슨 일이 있었나 (H2O리테일링과 한큐한신백화점에 따르면)
H2O리테일링 주식회사와 자회사인 주식회사 한큐한신백화점은 2026년 10월 19일 공동 사과 및 공지를 발표했습니다. 같은 날 한큐한신백화점은 같은 내용의 고객 공지를 발표했습니다. 아래 내용은 모두 이 공지들을 바탕으로 합니다.
2026년 10월 16일 (금)
한큐·한신 백화점 예약 사이트를 통한 제3자의 고객관리시스템 무단 접근이 확인되었습니다. 같은 날 회사는 외부와의 무단 통신 차단 등 긴급 조치를 취했고, 해당 사이트의 시스템 전체를 중단했습니다.2026년 10월 17일 (토)
HANKYU HANSHIN E-STORES와 Remo Order에서도 무단 접근이 확인되었고, 두 사이트의 시스템 전체가 같은 날 중단되었습니다.2026년 10월 19일 (월)
조사 결과 고객관리시스템에서 관리하는 약 126만 개 H2O ID의 개인정보 일부가 유출된 것으로 확인되었습니다. 사과 및 공지를 발표했습니다. 같은 날 14시에 E-STORES가 재개되었습니다(재발 방지 조치와 안전 점검이 완료된 후라고 한큐한신백화점이 밝힘).2026년 10월 20일 기준
H2O리테일링 뉴스 목록에 후속 내용이 없습니다. 한큐 우메다 본점의 공지 목록에도 예약 사이트나 Remo Order 재개에 관한 공지는 없습니다.
회사는 사고를 확인한 후 즉시 일본 개인정보보호위원회에 보고하고, 관할 경찰서에 피해 신고를 했다고 밝혔습니다.
- 서비스
- 한큐·한신 백화점 예약 사이트, HANKYU HANSHIN E-STORES, Remo Order. 모두 한큐한신백화점이 운영
- 예약 사이트: 범위
- 약 126만 개 H2O ID(건수 기준이며 반드시 사람 수는 아님). "조사가 진행 중이지만 거의 모든 H2O ID 회원의 개인정보 일부가 유출되었습니다"
- 예약 사이트: 항목
- H2O ID, 이름(한자 및 가타카나), 성별, 이메일 주소, 우편번호, 주소, 휴대전화 번호, 전화번호, 나이, 생년월일, H2O ID로 이용한 서비스
- E-STORES와 Remo Order
- 정보 유출 여부 조사 중. 두 서비스가 보유한 데이터: 주문 이력, 신용카드 정보 일부(카드 종류, 끝 4자리, 카드 명의인, 유효기간), 포인트카드 정보 일부(포인트카드 종류, 끝 4자리), 주소록 정보
- 보유하지 않음
- 신용카드 전체 번호와 보안 코드(결제 정보는 보관하지 않음). 회사는 악용 위험이 없다고 밝힘. 포인트카드는 끝 4자리만 보유하므로 포인트 악용 위험은 없다고 밝힘
- 확인되지 않음
- 로그인 비밀번호 유출
- 원인(회사 설명)
- 예약 사이트를 통한 제3자의 고객관리시스템 무단 접근. 자세한 원인과 보안 취약점은 분석 및 조사 중
- 피해
- 현재까지 이번 사고로 인한 악용 또는 2차 피해는 확인되지 않음
- 조치 완료
- 무단 통신 차단 등 긴급 조치, 세 사이트의 시스템 중단, 같은 방식의 새로운 피해 방지 조치, 개인정보보호위원회 보고, 관할 경찰서 피해 신고, H2O ID 회원에게 순차 이메일 발송
- 공지 메일 발신자
- noreply@h2o-retailing.co.jp
- 연락처
- 무료 전화 0120-110-256 또는 0120-369-089(매일 일본 시간 10:00~20:00), 문의 양식 https://h2o-id.h2o-retailing.co.jp/web/contact
알려진 사항과 알려지지 않은 사항
2026년 10월 20일 기준 상태입니다. 후속 내용이 발표되면 상태 열을 업데이트합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 예약 사이트를 통한 H2O ID 개인정보 일부 유출 | 약 126만 개 H2O ID의 개인정보 일부가 유출된 것으로 확인됨. 거의 모든 회원 | 유출 확인(회사 발표 기준) |
| 건수 | 약 126만(H2O ID 수이며 사람 수는 명시되지 않음). "조사가 진행 중이지만"이라는 표현과 함께 제시됨 | 조사 중 |
| 이름, 성별, 나이, 생년월일 | 예약 사이트를 통해 유출된 항목으로 나열됨 | 유출 확인(회사 발표 기준) |
| 주소, 우편번호, 전화 및 휴대전화 번호, 이메일 주소 | 예약 사이트를 통해 유출된 항목으로 나열됨 | 유출 확인(회사 발표 기준) |
| H2O ID, H2O ID로 이용한 서비스 | 예약 사이트를 통해 유출된 항목으로 나열됨 | 유출 확인(회사 발표 기준) |
| E-STORES와 Remo Order 주문 이력 | 두 서비스가 보유한 데이터로 나열됨 | 조사 중 |
| E-STORES와 Remo Order 카드 정보 일부(종류, 끝 4자리, 이름, 유효기간) | 두 서비스가 보유한 데이터로 나열됨 | 조사 중 |
| E-STORES와 Remo Order 포인트카드 정보 일부, 주소록 정보 | 두 서비스가 보유한 데이터로 나열됨 | 조사 중 |
| 신용카드 전체 번호와 보안 코드 | 전혀 보유하지 않음 | 포함되지 않음(회사 발표 기준) |
| 로그인 비밀번호 | 유출 확인되지 않음 | 확인되지 않음(회사 발표 기준) |
| 원인과 발생 경위 | 예약 사이트를 통한 무단 접근. 자세한 원인과 취약점은 조사 중 | 조사 중 |
| 2차 피해 | 악용 또는 2차 피해는 확인되지 않음 | 확인되지 않음(회사 발표 기준) |
| 회원 연락 | noreply@h2o-retailing.co.jp에서 순차 이메일 발송 | 확인됨(회사 발표 기준) |
| 서비스 재개 | E-STORES는 10월 19일 14시에 재개. 예약 사이트와 Remo Order는 안전이 확인되는 대로 재개 | 확인됨(회사 발표 기준)(E-STORES만 해당) |
| 재발 방지 | 회사는 조사하고 보안을 강화하겠다고 밝힘. 구체적 내용 없음 | 명시되지 않음 |
읽는 법: 제목은 "유출되었을 수 있음", 본문은 "유출됨"
공지 2항의 제목은 "유출되었을 수 있는 고객 정보"입니다. 그러나 예약 사이트에 대한 본문은 "조사가 진행 중이지만 거의 모든 H2O ID 회원의 개인정보 일부가 유출되었습니다"라고 하며, 1항도 유출이 "확인되었다"고 합니다. 이 사이트는 본문의 표현을 따라, 예약 사이트를 통해 유출된 항목을 "유출 확인(회사 발표 기준)"으로 표시합니다.
E-STORES와 Remo Order에 대해서는 공지가 "유출 가능성에 대해 조사 중"이라고만 하며, 두 서비스가 보유한 데이터를 나열합니다. 주문 이력이나 카드 정보 일부가 유출되었다고 밝히지 않습니다. 그리고 "확인되지 않음"은 지금까지 발견되지 않았다는 뜻이지, 앞으로도 일어나지 않는다는 뜻이 아닙니다.
유출된 정보의 조합으로 가능한 일
각 항목은 그 자체로는 흔한 정보이지만, 함께 있으면 사기 메시지를 진짜처럼 보이게 만들 수 있습니다. 아래는 일반적으로 일어날 수 있는 일이며, 이번 사건에서 실제로 일어났다는 주장이 아닙니다.
이름 + 주소 + 전화번호 + 생년월일
↓→
본인 확인을 가장해 주소와 생년월일을 아는 가짜 전화나 우편
→ 아는 정보를 본인 확인의 증거로 여기지 않기 / 생년월일을 PIN으로 쓰지 않기
이름 + 이메일 주소 + 이용 서비스
↓→
이름으로 보내며 실제로 이용하는 서비스를 언급하는 가짜 이메일
→ 링크를 열지 않기 / 직접 여는 공식 사이트에서 확인하기
휴대전화 번호 + 이름
↓→
"포인트 소멸"이나 "예약 확인"을 말하는 가짜 문자
→ 비밀번호나 카드 번호를 입력하지 않기 / 스팸 문자 차단 기능 사용하기
E-STORES와 Remo Order는 정보 유출 여부가 아직 조사 중입니다. 주소록 정보 유출이 확인되면, 회원뿐 아니라 선물 수령인으로 등록된 사람들도 택배나 배송을 빙자한 메시지를 받을 수 있습니다(공지는 주소록에 무엇이 들어 있는지 밝히지 않았으므로, 이는 일반적인 온라인 쇼핑몰 주소록을 가정한 것입니다). 현재로서는 자주 선물을 보내는 사람들에게 예상치 못한 배송 메시지의 링크를 열지 않도록 알려 주는 정도가 할 수 있는 최선입니다.
공지에 따르면 보유하지 않았거나 확인되지 않은 항목
- 신용카드 전체 번호와 보안 코드 (보유하지 않음)
- 로그인 비밀번호 (유출 확인되지 않음)
- 악용 및 2차 피해 (지금까지 확인되지 않음)
유출됨 (예약 사이트 경유, 회사 발표 기준)
- 이름(한자 및 가타카나), 성별, 나이, 생년월일 (생년월일은 바꿀 수 없음)
- 주소와 우편번호
- 전화번호와 휴대전화 번호 (바꾸기 어려움)
- 이메일 주소와 H2O ID
- H2O ID로 이용한 서비스
여러 서비스에서 공용으로 쓰는 회원 ID를 운영하는 분들을 위해
회사는 자세한 원인을 밝히지 않았으므로, 이 섹션은 예방 방법을 설명하지 않으며 회사의 대응을 평가하지도 않습니다. 회원 기록 수를 어떻게 살펴볼지는 야키니쿠킹 앱 사례에서 다룹니다. 여기서는 공지 자체가 뒷받침하는 한 가지 점에 집중합니다. 하나의 진입점이 공용 회원 ID의 모든 회원에게 닿을 수 있다는 점입니다.
공용 고객관리시스템에서 각 서비스가 볼 수 있는 항목을 정리하십시오
공지에 따르면 예약 사이트를 통해 고객관리시스템에 무단 접근이 있었고, 그 시스템에서 관리하는 거의 모든 H2O ID 회원의 정보 일부가 유출되었습니다. 일반적으로 공용 회원 ID에서는 한 서비스의 진입점이 그 서비스를 이용하지 않은 회원의 데이터에도 닿을 수 있습니다.
자신의 환경에서는 각 서비스가 어떤 고객관리 항목을 읽고 쓸 수 있는지, 한 번에 몇 건까지 읽을 수 있는지 표로 만드십시오. 예약 사이트가 예약하는 사람의 데이터만 필요하다면, 다른 회원의 주소나 생년월일을 읽지 못하도록 하는 것이 출발점이 됩니다.
카드 번호를 보유하지 않고, 발신자를 미리 공개하십시오
회사에 따르면 결제 정보는 보관하지 않으며, 카드 전체 번호와 보안 코드는 보유하지 않습니다. 시스템에 없는 정보는 유출될 수 없다는 일반 원칙의 예입니다(변조된 결제 페이지를 통해 카드 정보가 여전히 탈취될 수 있는 방식은 PhotoGoods 사례를 참고하십시오).
이 공지는 공지 메일의 발신 주소도 밝히고 있어, 회원이 진짜 메일을 가려내는 데 도움이 됩니다. 무슨 일이 생기기 전에, 중요한 회원 공지에 쓸 발신자를 정해 공개하고 발신자 인증을 설정하십시오(SPF, DKIM, DMARC로 이메일 위조 막기).
출처 (공개 자료)
이 글의 사실은 다음 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 경로나 방법에 대해서는 추측하지 않습니다.
- H2O리테일링 주식회사, 주식회사 한큐한신백화점, "제3자의 부정 접근 및 개인정보 유출에 대한 사과 및 공지" (2026년 10월 19일, 일본어) — h2o-retailing.co.jp (PDF)
- 주식회사 한큐한신백화점, "제3자의 부정 접근 및 개인정보 유출에 대한 사과 및 공지" (2026년 10월 19일, 고객 공지, 일본어) — hankyu-dept.co.jp (PDF)
- 주식회사 한큐한신백화점, "공식 온라인 스토어 HANKYU HANSHIN E-STORES 재개 공지" (2026년 10월 19일, 일본어) — hankyu-dept.co.jp (PDF)
- H2O리테일링 "뉴스 릴리스" 목록 (2026년 10월 20일 확인, 이번 사고 후속 내용 없음) — h2o-retailing.co.jp
- 한큐 우메다 본점 "공지" 목록 (2026년 10월 20일 확인, 예약 사이트나 Remo Order 재개 공지 없음) — hankyu-dept.co.jp
업데이트 기록
2026-10-20: 최초 버전. 2026년 10월 19일 H2O리테일링과 한큐한신백화점의 공지, 10월 19일 한큐한신백화점의 E-STORES 재개 공지, 두 회사의 공지 목록(10월 20일 확인)을 바탕으로 작성. 회사는 자세한 원인에 대한 조사가 계속되고 있다고 밝혔으며, 후속 내용이 발표되면 이 글을 업데이트합니다.
다음으로 읽을 글
- 다른 회원 서비스 공지: Nifty의 연결 신청 관리 시스템 무단 접근 공지
- 후속 사기로부터 자신을 보호하기: 피싱이란? / 스마트폰 보안 기초
- 비밀번호: 비밀번호 관리자 고르기 / 비밀번호 유출 여부 확인 방법
- 유사 사례(이름, 생년월일, 전화번호 유출): 버거킹 재팬 앱 유출 / MrMax 앱 및 온라인 스토어 유출
- 2026년 다른 사고: 데이터 유출 및 사이버 공격 목록 (일본 및 전 세계)