阪急阪神百貨店母公司H2O零售集團（H2Oリテイリング）周一（19日）宣布，旗下百貨店預約網站等服務遭到不當存取，「H2O ID」約126萬件個人資訊外洩，幾乎涵蓋全部會員。該公司表示，目前尚未確認有不當利用或二次被害發生。
阪急・阪神百貨店も個人情報漏洩 予約サイト経由126万件 クレジットカードの漏洩調査 https://t.co/f7jXL8e0IZ ほぼ全ての「H2O ID」会員情報が漏洩したとみられるという。現時点で、不正利用や二次被害の発生は確認されていないとしている。
— 産経ニュース (@Sankei_news) October 19, 2026
日本《產經新聞》（産経ニュース）報導，據H2O說明，遭攻擊的包括「阪急百貨店・阪神百貨店予約サイト」、「HANKYU HANSHIN E－STORES」與「Remo Order」三項服務。上周五（16日）透過預約網站確認顧客管理系統遭第三者不正存取後，立即阻斷外部通信並停止該網站系統；上周六（17日）另外兩項服務也確認遭攻擊，隨即全面停機。
外洩可能資訊在預約網站路徑包括H2O ID、姓名、電子郵件、地址、電話、年齡與出生日期等；另外兩項服務則涉及商品訂購紀錄，以及信用卡與點數卡部分資訊，目前正調查外洩範圍。公司已向個人情報保護委員會報告並向警方報案，正進行原因調查與資安弱點修補，確認安全後將恢復服務。
這起事件只是日本近期個資外洩潮的一環。9月至10月間，日本幾乎天天出現重大駭客事件，累計外洩規模龐大。當地媒體與資安分析指出，這波密集攻擊可能與駭客利用人工智慧代理（AI agent）全自動尋找漏洞有關。
資安公司VLCセキュリティラボ（VLC Security Lab）執行長中本有哉接受訪問時表示：「在日本國民當中，沒遭遇個資外洩的人反而是少數」，「要完全防範受害極為困難」。他指出，從敬老節到秋分連假期間的超大規模事件，很可能是因為駭客已使用AI代理24小時不斷掃描日本企業、雲端與公家機關的網路漏洞。
【世界のサイバー侵害｜10月19日公表分】 今回は日本国内の情報漏洩・不正アクセスが目立つ。 🇯🇵 主な公表事案 ・Cuenote FC：メール配信基盤が侵害され、延べ約900万件のデータ出力を確認 ・阪急阪神百貨店：H2O ID会員情報など約126万件が漏洩 ・ニフティ：@nifty光などの申込者情報、最大約54.3万件に流出の可能性 ・LIXIL：業務支援アプリ「L-ポケット」で3,379人の情報が漏洩 ・楽待：流出済みID・パスワードを悪用され、最大3,450人分の情報を閲覧・取得 ・WorldShopping：海外顧客301人の情報が漏洩 ・JETRO：一部Webサイトへの不正アクセスで743件の情報が漏洩 今回注目したいのは、メール配信SaaSへの侵害や、流出済み認証情報を使った不正ログイン。 一つのサービスへの攻撃が、複数企業の利用者に波及する危険性もある。 【注意喚起】 企業からの不審なメールや再認証の要求には注意。メール内のリンクを安易に開かず、公式サイト・アプリから確認しよう。 ※2026年10月19日の公表事案から抜粋。件数と人数、流出確定と流出の可能性は区別が必要。日本以外で被害がなかったという意味ではありません。
— Ryuji iwaizumi (@construction_DX) October 20, 2026
中本說明，美國的Claude或ChatGPT等服務，若下達自動尋找漏洞並攻擊的指令會被判定不符倫理而拒絕；但中國開發的AI模型缺乏這種倫理把關，駭客可下達「請在網際網路上巡邏，如果有可以從外部進入的伺服器或系統，請告訴我。然後進入其中，並且打造出能將內部資訊帶出的程式碼與機制」等指令，系統便會直接執行。他警告：「只要利用這種倫理觀較低的生成式AI來建構機制與系統，任何人都能進行未授權存取」。
日本帝國徵信公司（帝國データバンク）周一公布的企業問卷也顯示，發生過資訊外洩（含可能性）的企業比例達16.2％，近一年內發生者為5.5％；大型企業經驗比例更高達30.2％，遠高於中小企業。部分企業表示遭偽裝郵件或外部網路攻擊，卻自承對策不足；也有14.8％回答「不清楚」，反映許多企業連是否受害都無法掌握。帝國徵信指出，除了「不讓它發生」的預防，更重要的是發生時能迅速掌握、「不錯過」的機制。
中本有哉建議，在連新手也能大規模攻擊的時代，民眾只能靠自身警覺自保：檢討並刪除不必要的網路帳號、絕不重複使用相同密碼，並警惕假冒外洩通知的釣魚郵件，切勿隨意點擊連結，應直接搜尋官方客服聯繫確認。這波攻擊不僅暴露企業資安與供應鏈弱點，也凸顯AI技術在攻擊自動化上的雙面刃效應，相關主管機關已多次發出警示。
