Am 19. Oktober 2026 gaben H2O Retailing und die Kaufhauskette Hankyu Hanshin Department Store bekannt, dass durch unbefugten Zugriff Mitgliedsdaten der gemeinsamen Kunden-ID H2O ID abgeflossen sind. Von rund 1,26 Millionen Datensätzen ist nach bisherigem Stand fast die gesamte Mitgliederbasis betroffen. Die Untersuchung läuft noch.
Der Vorfall wurde am 19. Oktober 2026 entdeckt. Die Angreifer griffen über die Reservierungsseite der Kaufhäuser auf das Kundenverwaltungssystem zu. Unbefugte Zugriffe wurden zudem auf den E-Commerce-Seiten HANKYU HANSHIN E-STORES und Remo Order bestätigt.
Zu den abgeflossenen personenbezogenen Daten zählen H2O ID, Name, Geschlecht, E-Mail-Adresse, Postleitzahl, Adresse, Mobilfunk- und Telefonnummer, Alter, Geburtsdatum und genutzte Services. Ob auch Bestellhistorie, Teile der Kartendaten (letzte vier Ziffern, Karteninhaber, Ablaufdatum), Punktedaten und Adressbücher betroffen sind, wird noch geprüft. Das Unternehmen warnt vor betrügerischen Nachrichten an hinterlegte E-Mail-Adressen und Telefonnummern.