阪急阪神百貨店が運営する3サービスへの不正アクセスにより、顧客管理システムに登録された「H2O ID」約126万件の個人情報の一部が漏えいしました。クレジットカード番号の下4桁や名義、有効期限なども、漏えいした可能性がある情報に含まれます。
不正アクセスで3サービスを停止
対象は「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」です。阪急阪神百貨店を運営するエイチ・ツー・オー リテイリングは、第三者の不正アクセスによるシステム障害と、顧客情報の一部漏えいを公表しました。
10月16日、予約サイトを通じた顧客管理システムへの不正アクセスを確認し、外部からの不正な通信を遮断しました。同日、被害の拡大を防ぐため、予約サイトのシステム全体を停止しています。
翌17日には、残る2サービスでも不正アクセスを確認し、両サイトのシステムを停止しました。その後の調査で、顧客管理システムが扱うH2O ID約126万件について、個人情報の一部が漏えいしたと判明しました。
氏名や連絡先に加え注文履歴も対象の可能性
漏えいした情報には、H2O ID、氏名、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日が含まれます。H2O IDで利用したサービスの項目も対象です。
商品注文履歴やアドレス帳の情報も、漏えいした可能性があります。H2O IDは、阪急阪神百貨店などエイチ・ツー・オー リテイリングが提供する複数のサービスで共通利用できる会員IDです。
カード関連では、クレジットカードの種別、番号の下4桁、名義、有効期限が漏えいした可能性があります。ポイントカードも、カード種別と番号の下4桁が対象となる可能性があります。
カード会社は監視と利用状況の確認を案内
ジャックスは今回の件を受け、同社が発行したクレジットカードに不審な売上がないか確認しています。同社は不正利用の早期発見に向け、24時間365日の監視体制でモニタリングを行っています。
ジャックスは、今回の件に起因するカード情報の不正利用で被害が生じた場合、カード会員に負担が生じないよう対応するとしています。利用者には、利用明細書またはウェブ照会で取引内容を確認するよう案内しています。
利用した覚えのない取引があれば、カード裏面に記載された電話番号へ連絡するよう、ジャックスは呼びかけています。エイチ・ツー・オー リテイリングも、H2O IDに登録したメールアドレスや電話番号に、同社を装った不審なメール、SMS、電話が届く可能性があると案内しています。
原因調査とサービス再開に向けた対応
エイチ・ツー・オー リテイリングは、原因究明とセキュリティ上の脆弱性の解析・調査を進めています。対象サービスのホームページと機能については、同様の手口による被害や影響の拡大を防ぐ措置を完了しました。
同社は個人情報保護委員会への報告と、所轄警察署への被害申告を行いました。H2O IDの会員には、電子メールで順次連絡しています。
今後は原因を究明し、セキュリティ上の脆弱性を修正したうえで、安全を確認でき次第、サービスを再開する予定です。登録した連絡先に届く不審な連絡や、身に覚えのないURLに注意するよう呼びかけています。
