ECサイト構築・運営支援サービス「ショップサーブ」のサーバーが外部からの不正アクセスを受け、最大で延べ885万3,839件の情報が外部へ流出した可能性が発覚した。
サービス運営の「Eストアー」社によると、購入者の情報に加えて、クレジットカード情報、ショップ運営店舗の認証情報・口座情報なども流出の対象になっている。
| ニューストピックス ◆事案発生日：2026年5月21日〜8月1日 ◆問題発生した場所：ECサイト構築・運営支援サービス「ショップサーブ」のサーバー（運営：Eストアー） ◆原因：不正プログラム実行による第三者からの不正アクセス（詳細な侵入経路・手口は調査中） ◆影響人数：不明（流出可能性のある情報は最大延べ885万3,839件） ◆流出した可能性がある情報： ・ECサイト購入者：氏名、住所、電話番号、メールアドレス、会員情報（ID・パスワード）、クレジットカード情報の一部など ・店舗（事業者）：ログインID・パスワード（管理画面・メール・FTP）、振込先口座情報など ◆事案により影響があった外部あるいは関係組織：ショップサーブ利用店舗（一部サイト停止）、ECサイト購入者、個人情報保護委員会、警察（届出検討中） ◆対応状況：攻撃元通信の遮断完了、調査・セキュリティ強化の継続、関係機関への報告、利用店舗および購入者へパスワード変更・二段階認証設定・不審な連絡への注意喚起の実施 |
第三者が同社のサーバー上で不正なプログラムを実行し、情報を外部に送信していたことが確認された。
初報では「8月1日の約2時間」とされていたが、その後の調査により実際には2026年5月21日から8月1日にかけて不正プログラムが実行されていたことが分かっている。
流出した可能性がある情報の件数は最大で延べ885万3,839件と公表されているが、この数字には同一顧客の複数データが含まれている可能性があるため、「実際の被害人数（約885万人）を示すものではない」と説明されている。
今回流出の対象となったのは、ショップサーブを利用して作られた「ECサイトの購入者」と、「ECサイトを運営する店舗（事業者）」の両方の情報にわたる。
氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、その他任意入力情報（配送先含む）、会員情報、会員ID、パスワードが対象。
クレジットカード情報についてもカード名義、カード番号の一部、有効期限の項目が流出対象とみられている。
また店舗側の被害も報告されており、ショップサーブ管理画面や店舗メールシステムのログインID・パスワードに加え、サーバーへファイルを送受信するためのFTPのIDとパスワードも流出したという。
さらに、Eストアーからの振込先口座情報（銀行名、支店名、口座名義、口座番号、銀行コード、支店コード）も流出対象となっている。
攻撃元からの通信はすでに遮断されており、現在はアクセスできない状態。
影響を受けてECサイトを一時停止している店舗も出ているという。
また侵入経路や狙われた脆弱性など、詳細な原因や手口については引き続き調査中とされている。
同社は個人情報保護委員会へ報告を行うとともに、所轄警察署への届け出も検討し、セキュリティ強化に向けた再発防止策を進めている。
Eストアーは、購入者および店舗に対して以下の対応を求めている。
• 速やかなパスワードの変更（他サービスで同じ情報を使い回している場合も変更を推奨）
• 管理画面やアカウントへの多要素認証（二段階認証）の設定
• 登録情報や注文履歴の確認
さらに、流出した情報をもとに、Eストアーや利用店舗、クレジットカード会社を装った不審なメール、SMS、電話（フィッシング詐欺など）が来るおそれがあるとし、「再決済」「返金」「本人確認」「アカウント確認」などを理由に、クレジットカード情報やパスワードの入力を求める連絡には絶対に応じないよう強く注意を促している。