BASEの子会社であるEストアーは2026年10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスについて最終報を公表しました。調査の結果、漏えい対象者は約23,356,000人で、このうち約2,096,900人はクレジットカード情報の一部（カード名義、カード番号の先頭6桁と下4桁、有効期限）を含むと確定しています。対象店舗は7,858店です。
完全なカード番号とセキュリティコードは漏えい対象に含まれず、Eストアーは漏えいした情報だけではクレジットカード決済はできないと説明しています。ショップサーブで作られたネットショップで買い物をしたことがある人は、対象に含まれている可能性があります。この記事では、8月の第1報から10月の最終報までの内容を整理します。
経緯：5月21日から8月1日まで情報が外部へ送信されていた
| 日付 | 内容 |
|---|---|
| 2026年5月21日〜8月1日 | 外部の第三者が、サーバー上のアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信 |
| 2026年8月1日 | Eストアーが本件を認知し、攻撃元からの通信を遮断。第1報を公表（最大延べ8,853,839件） |
| 2026年8月2日 | 第2報を公表。会員情報、クレジットカード情報の一部、店舗関連情報も漏えい対象に追加 |
| 2026年10月16日 | 最終報を公表。外部の専門機関によるフォレンジック調査を含む調査が完了し、攻撃手法・期間・漏えいの範囲が確定 |
最終報によると、8月1日に通信を遮断して以降、攻撃は成立していません。確定した侵入経路以外の侵害や、バックドアなどの不正なプログラムの設置も認められなかったとしています。
漏えい対象の情報（最終報）
購入者・会員の情報
| 区分 | 内訳 |
|---|---|
| 購入者情報（配送先情報を含む） | 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、その他お客様が任意に入力した情報 |
| 会員情報（メールマガジン会員を含む） | 会員ID、暗号化されたパスワード |
| クレジットカード情報の一部 | カード名義、カード番号の一部（先頭6桁および下4桁）、有効期限 |
パスワードについてEストアーは、暗号化された状態で管理しており、特定される可能性は低いと判断しています。漏えいした情報にはログイン先の店舗を結びつける情報も含まれないため、パスワードの悪用や会員マイページへの不正アクセスの可能性は低いとしています。
店舗・アフィリエイターの情報
| 区分 | 内訳 |
|---|---|
| ショップサーブの管理画面に関するログイン情報 | ログインID・パスワード |
| コンビニ払込票に記載された店舗情報 | 販売責任者の氏名、店舗名、郵便番号、住所、電話番号、FAX番号 |
| アフィリエイトプログラムの登録情報 | メールアドレス、パスワード |
第2報で漏えい対象としていた「店舗メールシステムのログインID・パスワード、FTPのID・パスワード、当社からのお振込先口座情報」は、調査の結果、漏えい対象に含まれていないことが確認され、最終報で対象から外されました。
件数が第1報から増えた理由
第1報の8,853,839件は購入者情報の延べ件数で、人数を示すものではないとされていました。最終報の約23,356,000人は、購入者、店舗運営者、アフィリエイターを合わせ、複数項目の一致で名寄せして重複を除いた人数です。一致の基準に満たない重複は除けないため、概数としています。
二次被害とEストアーの対応
最終報の公表時点で、本件が原因の具体的な二次被害の報告は確認されていません。外部の専門機関の調査で、ダークウェブ上への本件の流出も確認されていないとしています。
- 攻撃元からの通信を遮断し、悪用された脆弱性の修正、影響範囲の点検、認証情報のリセットなどを実施
- 漏えい対象の購入者・店舗・アフィリエイターへの個別連絡は完了。連絡先が確認できない人には、公表と問い合わせ窓口の設置で代える
- 個人情報保護委員会と関東総合通信局へ報告書を提出し、所轄警察署へ相談
- 再発防止策として、アプリケーションとサーバーの脆弱性診断と是正、残存脅威の調査、管理画面などの認証の追加強化（二要素認証または二段階認証を含む）を実施
Eストアーによると、関係会社が提供するサービスは本件の対象となったサーバー・システムとは別の環境で運用されており、関係会社のサービスで情報漏えいは発生していないことを確認しています。
利用者がとるべき対応
Eストアーや金融機関を装う連絡に注意する
Eストアーは、同社や金融機関を装った不審なメール、SMS、電話などに注意するよう呼びかけています。同社がこの件でクレジットカード情報の再入力や再決済を求めることはなく、メールやSMSでパスワードを尋ねることもないとしています。カード情報の再入力を求める連絡が来ても応じないでください。
使い回しているパスワードを変更する
8月2日の第2報では、会員パスワードの変更と、同じか似たパスワードを使っている他のサービスのパスワード変更をお願いしていました。最終報ではパスワードが悪用される可能性は低いとされていますが、筆者としては、第2報の時点で変更していない人は念のため済ませておくことをすすめます。可能なサービスでは多要素認証も使うよう案内されています。
カードの利用明細を確認する（筆者の見解）
公式発表では、漏えいした情報だけではカード決済はできないとされています。それでも筆者としては、ショップサーブのネットショップでカード払いをしたことがある人は、利用明細に身に覚えのない請求がないかを見ておくことをすすめます。第1報では、不審なサイトにカード情報を入力した場合や身に覚えのない請求がある場合は、カード裏面のカード会社へ連絡するよう案内されていました。
問い合わせ先
購入者・会員・アフィリエイター：株式会社Eストアー 個人情報に関するお客様ご相談窓口
メール：support@estore.co.jp（お問い合わせフォームもあり、よくある質問と回答はフォームの冒頭に掲載）
ショップサーブ利用店舗：株式会社Eストアー Eストアーデスク
電話：03-6434-0946（受付時間：平日10時〜18時）
メール：sp@estore.co.jp
どの店舗で使われた情報かを知りたい場合も、上記の窓口で確認するよう案内されています。
まとめ
ショップサーブへの不正アクセスは、2026年5月21日から8月1日まで続き、最終報で漏えい対象は約23,356,000人、うちカード情報の一部を含むのは約2,096,900人と確定しました。完全なカード番号やセキュリティコードは含まれず、二次被害も確認されていません。ただ、名前や住所、購入時の情報を使った偽の連絡は今後も考えられます。カード情報の再入力を求める連絡には応じないことを覚えておいてください。
関連記事
出典
出典：Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）
元記事URL：https://estore.jp/press/20261016/
出典：Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（第2報）」（2026年8月2日）
元記事URL：https://estore.jp/press/20260802/
出典：Eストアー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年8月1日）
元記事URL：https://estore.jp/press/20260801/
出典：Eストアー「会社概要」（2026年10月22日確認）
元記事URL：https://estore.jp/corporate/
コメント