适用对象：拥有H2O ID的人（包括阪急和阪神百货预约网站、HANKYU HANSHIN E-STORES及Remo Order的用户），以及运营跨多个服务共用会员ID的任何人。本文基于H2O Retailing株式会社与株式会社阪急阪神百货的官方公告，不涉及攻击技术。
事态发展中：本文将随着机构发布更多信息而更新
截至2026年10月20日尚不明确
- 未经授权访问的具体原因（正在分析和调查）
- E-STORES和Remo Order是否有数据泄露（订单历史、部分卡片信息、部分积分卡信息、地址簿）
- 126万条记录对应多少人
- 预约网站和Remo Order何时重新开放
- 再发防止措施的具体内容
两家公司表示，如果调查发现应当公开的新情况，将及时在其网站上披露。在确定原因、修复漏洞并确认安全后，他们计划重新开放服务，并将在网站上公布重新开放的消息。截至2026年10月20日，H2O Retailing的新闻列表中没有关于本事件的后续信息。
H2O ID会员今天应当做什么
请勿按照自称是阪急、阪神或H2O的电子邮件、短信或电话中的链接或指示操作
已泄露的项目包括姓名（汉字与片假名）、住所、邮政编码、手机及固定电话号码、电子邮件地址、出生日期和年龄。再加上“使用H2O ID的服务”，诈骗者就可以发送包含你正确姓名和住所、并提及你实际使用的服务的信息。
两家公司提醒，冒充其名义的可疑邮件、短信和电话可能会发送到H2O ID登记的电子邮件地址和电话号码，并请客户留意意外的信息和可疑网址。无论信息提供的是例如“致歉积分”、“预约确认”还是“订单退款”（本站举例），请勿打开链接；请自行打开官方网站进行核实（参见什么是网络钓鱼？）。
即使是公司发来的通知邮件，也请勿通过链接操作
两家公司表示，正在依次向H2O ID会员发送电子邮件。其通知邮件来自noreply@h2o-retailing.co.jp，并请客户对来自其他发件人的信息保持警惕。
不过，发件人名称可以伪造。即使信息看似来自该地址，也请遵守一条规则：请勿通过邮件中的链接登录或输入任何信息。如需确认通知内容，请使用你自己打开的官方网站或下方的联系方式。
对要求你确认身份的邮寄信件和电话要保持警惕
据两家公司称，住所和电话号码一同泄露。虚假联系可能不仅通过电子邮件或短信，还可能通过电话或邮寄方式进行。
来电者即使准确说出你的姓名、住所和出生日期，也不能仅凭这一点证明其身份真实。如果对方在电话中要求你提供PIN码、密码、卡号或验证码，请挂断，并使用你自己查找的官方号码回拨。
如果你将出生日期用作PIN码或密码，请更改
与电子邮件地址或电话号码不同，出生日期无法更改，而此次它与姓名和住所一同泄露。
如果你的银行或卡片PIN码、手机屏幕锁或任何密码基于出生日期（例如“0815”或“19900815”），请立即更改。这是本站的一般建议，并非两家公司的建议。
如果你在其他服务上重复使用同一密码，请将它们分开
公告称，尚未确认登录密码泄露，也没有要求会员更改密码。这一措辞反映出调查仍在进行中。
一般来说，当某个服务的密码泄露后，攻击者会在其他服务上尝试相同的邮箱与密码组合。如果你在其他地方使用H2O ID的密码，请立即将它们分开。密码管理器是实用的做法。要检查重复使用的密码是否出现在过往泄露事件中，请参见如何检查密码是否已泄露。
只使用公告中提供的联系方式
两家公司提供了免费电话0120-110-256或0120-369-089（每日10:00至20:00，日本时间；免费电话仅限日本国内拨打），以及针对本次事件咨询的联系表单（https://h2o-id.h2o-retailing.co.jp/web/contact ）。阪急阪神百货的公告将该电话专线称为特别咨询中心。请使用官方网站上公告中的联系方式，而不要使用你收到的信息中写明的联系方式。
事件经过（根据H2O Retailing与阪急阪神百货的说明）
H2O Retailing株式会社及其子公司株式会社阪急阪神百货于2026年10月19日联合发布了致歉与公告。同日，阪急阪神百货还发布了内容相同的客户通知。以下内容均基于这些公告。
2026年10月16日（周五）
确认第三方通过阪急和阪神百货预约网站未经授权访问了客户管理系统。同日，两家公司采取了紧急措施，包括阻断未经授权的外部通信，并停止了该网站的整体系统。10月17日（周六）
确认HANKYU HANSHIN E-STORES和Remo Order同样遭未经授权访问，两个网站的整体系统当日均已停止。10月19日（周一）
调查确认，客户管理系统中管理的约126万个H2O ID的部分个人信息已泄露。发布致歉与公告。当日14:00，E-STORES重新开放（阪急阪神百货表示，是在完成再发防止措施和安全检查之后）。截至10月20日
H2O Retailing的新闻列表中没有后续信息。阪急梅田本店的公告列表中也没有预约网站或Remo Order重新开放的通知。
两家公司表示，在确认事件后，已立即向日本个人信息保护委员会报告，并向当地警察局提交了受损报告。
- 服务
- 阪急和阪神百货预约网站、HANKYU HANSHIN E-STORES及Remo Order，均由阪急阪神百货运营
- 通过预约网站：范围
- 约126万个H2O ID（为记录数，不一定是人数）。“尽管调查仍在进行，但几乎所有H2O ID会员的部分个人信息已泄露”
- 通过预约网站：项目
- H2O ID、姓名（汉字与片假名）、性别、电子邮件地址、邮政编码、住所、手机号码、电话号码、年龄、出生日期、使用H2O ID的服务
- 通过E-STORES和Remo Order
- 是否有数据泄露仍在调查中。这些服务持有的数据包括：订单历史、部分信用卡信息（卡种、末四位、持卡人姓名、有效期）、部分积分卡信息（积分卡种类、末四位）、收件地址簿信息
- 未持有的信息
- 完整信用卡号和安全码（不保留支付数据）。两家公司表示不存在被滥用的风险。积分卡仅持有末四位，因此两家公司表示积分不存在被滥用的风险
- 未确认
- 登录密码泄露
- 原因（据公司说明）
- 第三方通过预约网站未经授权访问客户管理系统。具体原因和安全漏洞仍在分析和调查中
- 损害
- 目前尚未确认因本事件导致的任何滥用或二次损害
- 已采取的措施
- 阻断未经授权的通信、停止三个网站的系统、防止同类手段造成新损害的措施、向个人信息保护委员会报告、向当地警察局提交受损报告、依次向H2O ID会员发送电子邮件
- 通知邮件的发件人
- noreply@h2o-retailing.co.jp
- 联系方式
- 免费电话0120-110-256或0120-369-089（每日10:00至20:00，日本时间），联系表单https://h2o-id.h2o-retailing.co.jp/web/contact
已知与未知的信息
截至2026年10月20日的状况。发布后续公告时，状态栏将随之更新。
| 项目 | 公告内容 | 状态 |
|---|---|---|
| 通过预约网站泄露的部分H2O ID个人信息 | 确认约126万个H2O ID的部分个人信息已泄露；几乎所有会员 | 已确认泄露（据两家公司称） |
| 记录数 | 约126万（为H2O ID数量；未说明人数），并以“尽管调查仍在进行”开头 | 调查中 |
| 姓名、性别、年龄、出生日期 | 在通过预约网站泄露的项目中列出 | 已确认泄露（据两家公司称） |
| 住所、邮政编码、电话及手机号码、电子邮件地址 | 在通过预约网站泄露的项目中列出 | 已确认泄露（据两家公司称） |
| H2O ID；使用H2O ID的服务 | 在通过预约网站泄露的项目中列出 | 已确认泄露（据两家公司称） |
| E-STORES和Remo Order的订单历史 | 列为服务持有的数据 | 调查中 |
| E-STORES和Remo Order的部分信用卡信息（卡种、末四位、姓名、有效期） | 列为服务持有的数据 | 调查中 |
| E-STORES和Remo Order的部分积分卡信息；收件地址簿信息 | 列为服务持有的数据 | 调查中 |
| 完整信用卡号和安全码 | 完全不持有 | 不涉及（据两家公司称） |
| 登录密码 | 未确认泄露 | 未确认（据两家公司称） |
| 原因及发生经过 | 通过预约网站未经授权访问；具体原因和漏洞仍在调查中 | 调查中 |
| 二次损害 | 未确认任何滥用或二次损害 | 未确认（据两家公司称） |
| 联系会员 | 从noreply@h2o-retailing.co.jp依次发送电子邮件 | 已确认（据两家公司称） |
| 服务重新开放 | E-STORES于10月19日14:00重新开放。预约网站和Remo Order将在确认安全后重新开放 | 已确认（据两家公司称）（仅E-STORES） |
| 再发防止 | 两家公司表示将调查并加强安全措施。未说明具体内容 | 未说明 |
如何理解：标题写的是“可能已泄露”，正文写的是“已泄露”
公告第2部分的标题为“可能已泄露的客户信息”。然而，关于预约网站的正文写道“尽管调查仍在进行，但几乎所有H2O ID会员的部分个人信息已泄露”，且第1部分也写明泄露“已确认”。本站遵循正文的措辞，将通过预约网站泄露的项目标注为“已确认泄露（据两家公司称）”。
对于E-STORES和Remo Order，公告仅表示“泄露的可能性正在调查中”，并列出这些服务持有的数据。公告并未称订单历史或部分信用卡信息已泄露。而“未确认”仅表示目前尚未发现，并不意味着今后绝不会发生。
泄露的信息组合可能造成什么
每一项单独看都很普通，但组合起来就容易让诈骗信息看起来很真实。以下内容是一般可能发生的情况，并非表示本案中已经发生。
姓名 + 住所 + 电话号码 + 出生日期
↓→
以身份核实为名、知道你住所和出生日期的虚假电话或信件
→ 不要因为对方知道这些信息就认为可信 / 不要把出生日期用作PIN码
姓名 + 电子邮件地址 + 你使用的服务
↓→
以你的姓名称呼你、并提及你实际使用的服务的虚假邮件
→ 不要打开链接 / 通过你自己打开的官方网站核实
手机号码 + 姓名
↓→
关于“积分即将过期”或“预约确认”的虚假短信
→ 不要输入密码或卡号 / 使用垃圾短信过滤功能
对于E-STORES和Remo Order，是否有数据泄露仍在调查中。如果后续确认收件地址簿信息已泄露，那么不仅是会员，登记为礼物收件人的人也可能收到以包裹或配送为借口的信息（公告未说明地址簿包含哪些内容，此处假设为一般网上商店的地址簿）。目前，你能做的最多是提醒经常寄送礼物的人，不要打开意外的配送通知中的链接。
据公告，未持有或未确认的信息
- 完整信用卡号和安全码（未持有）
- 登录密码（未确认泄露）
- 滥用及二次损害（目前未确认）
已泄露（通过预约网站，据两家公司称）
- 姓名（汉字与片假名）、性别、年龄、出生日期（出生日期无法更改）
- 住所和邮政编码
- 电话及手机号码（难以更改）
- 电子邮件地址和H2O ID
- 使用H2O ID的服务
面向运营跨服务共用会员ID的人员
两家公司尚未披露具体原因，因此本节不说明如何防范，也不对两家公司的应对作出评价。如何关注会员记录读取数量的问题，已在烤肉王应用案例中说明。此处我们聚焦于公告本身所支持的一点：一个入口可能触及共用ID下的所有会员。
列出共用客户管理系统中每项服务可以访问的内容
据公告，有人通过预约网站未经授权访问了客户管理系统，该系统中管理的几乎所有H2O ID会员的部分数据已泄露。一般来说，在共用会员ID的情况下，某一服务的入口可能触及从未使用该服务的会员的数据。
对于你自己的系统，请列出每项服务可以读取和写入哪些客户管理字段，以及一次可以读取多少条记录，并制成表格。如果预约网站只需要预约人本人的数据，那么这就是一个起点，即不让它读取其他会员的住所或出生日期。
不持有卡号，并事先公布发件人
据两家公司称，不保留支付数据，也不持有完整卡号和安全码。这是一个通用原则的例子：系统中没有的信息就无法泄露（关于卡片数据仍可能通过被篡改的支付页面被盗，请参见PhotoGoods案例）。
本公告还写明了通知邮件的发件地址，有助于会员辨认真正的邮件。在事情发生之前，请确定你将用于重要会员通知的发件人地址，公开发布，并设置发件人认证（使用SPF、DKIM和DMARC阻止伪造邮件）。
信息来源（公开记录）
本文的事实基于以下公开信息。我们不对未披露的入侵路径或方法进行推测。
- H2O Retailing株式会社与株式会社阪急阪神百货，《关于第三方未经授权访问及个人信息泄露的致歉与公告》（2026年10月19日，日文）——h2o-retailing.co.jp（PDF）
- 株式会社阪急阪神百货，《关于第三方未经授权访问及个人信息泄露的致歉与公告》（2026年10月19日，客户通知，日文）——hankyu-dept.co.jp（PDF）
- 株式会社阪急阪神百货，《官方网店HANKYU HANSHIN E-STORES重新开放的通知》（2026年10月19日，日文）——hankyu-dept.co.jp（PDF）
- H2O Retailing“新闻稿”列表（2026年10月20日查阅；无本事件后续信息）——h2o-retailing.co.jp
- 阪急梅田本店“公告”列表（2026年10月20日查阅；无预约网站或Remo Order重新开放的通知）——hankyu-dept.co.jp
更新记录
2026-10-20：首次发布，基于H2O Retailing与阪急阪神百货于10月19日发布的公告、阪急阪神百货于10月19日发布的E-STORES重新开放通知，以及两家公司的公告列表（2026年10月20日查阅）。两家公司表示对具体原因的调查仍在继续；发布后续公告时，本文将随之更新。
延伸阅读
- 另一起会员服务披露：Nifty关于其线路申请管理系统遭未经授权访问的公告
- 防范后续诈骗：什么是网络钓鱼？ / 智能手机安全基础
- 密码：如何选择密码管理器 / 如何检查密码是否已泄露
- 类似案例（姓名、出生日期和电话号码泄露）：汉堡王日本应用泄露事件 / MrMax应用及网店泄露事件
- 2026年其他事件：数据泄露与网络攻击列表（日本及全球）