EC構築サービス「ショップサーブ」を提供するEストアー（BASEの子会社）は10月16日、8月に公表した不正アクセス事案の最終報を公表し、漏えい対象者が約2,335万6,000人、対象店舗が7,858店にのぼることを明らかにした。このうち約209万6,900人については、クレジットカード情報の一部が含まれる。完全なカード番号とセキュリティコードは含まれていない。
事案の詳細
同社によると、2026年5月21日から8月1日までの間、外部の第三者が、同社のサーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信していた。同社は8月1日に攻撃元からの通信を遮断し、それ以降は攻撃が成立していないことを確認している。専門機関によるフォレンジック調査では、この経路以外の侵害経路やバックドアなどの設置は認められなかったという。
漏えい対象者の約2,335万6,000人は、購入者・会員、店舗運営者、アフィリエイターを合わせ、複数の項目が一致するものを名寄せして重複を除いた概数である。対象店舗の7,858店には、現在ショップサーブを利用している店舗だけでなく、過去に利用していた店舗も含まれる。
漏えいした主な情報は次の通り。
- 購入者情報（配送先を含む）：氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報
- 会員情報：会員ID、暗号化されたパスワード
- クレジットカード情報の一部：カード名義、カード番号の先頭6桁と下4桁、有効期限（約209万6,900人）
- 店舗情報：ショップサーブ管理画面のログインIDとパスワード、販売責任者の氏名、店舗名、住所、電話番号、FAX番号
- アフィリエイター情報：メールアドレス、パスワード
同社は、完全なカード番号とセキュリティコードは保持しておらず、漏えいした情報だけではカード決済はできないとしている。会員のパスワードは暗号化された状態で管理されていたため、特定される可能性は低いとしている。一方、8月の第2報で漏えい対象に挙げていた店舗メールシステムやFTPのID・パスワード、同社からの振込先口座情報は、調査の結果、対象から外れた。
現時点で、本件に起因する具体的な二次被害の報告は確認されておらず、専門機関の調査ではダークウェブへの流出も確認されていない。同社は対象者への個別連絡を完了し、個人情報保護委員会と関東総合通信局に報告書を提出したほか、警察にも相談している。
影響と背景
同社は8月の第2報で、漏えいした可能性のある登録データを885万3,839件と公表していた（当時の記事）。この数字は同一人物の複数の登録を含む件数で、最終報の約2,335万6,000人とは集計の範囲と方法が異なる。最終報の数字は、店舗運営者やアフィリエイターも含めて名寄せしたものである。
今回の事案の特徴は、1社のEC基盤への侵入が、7,858の店舗とその顧客に一度に波及した点にある。購入者から見れば、自分が買い物をしたのは個別のネットショップであり、裏側でショップサーブが使われていたことを知らない人も多い。実際、キングジムは9月、過去にショップサーブで運営していた旧ECサイトの利用者情報が漏えいしたと公表しており、各店舗からの案内で初めて事態を知るケースが続いている。
委託先や外部の基盤を経由した情報漏えいの構造については、「一つの侵入が何十社にも波及する――サプライチェーン経由の情報漏洩が急増する理由」で解説している。
対策・今後の展望
購入者・会員の方へ
- 店舗やEストアーからの案内を確認する：対象者には個別に連絡が届いている。心当たりがない場合でも、利用したネットショップの公式サイトのお知らせを確認したい。
- カード情報の再入力を求める連絡は偽物と考える：同社は、カード情報の再入力や再決済、メール・SMSでのパスワードの確認を求めることはないとしている。カード番号の一部や有効期限が漏れているため、それらを示して信用させる詐欺に注意が必要だ。
- パスワードの使い回しを見直す：会員パスワードは暗号化されていたが、同じパスワードを他のサービスでも使っている場合は、念のため変更を検討したい。
ショップサーブを利用している（していた）店舗の方へ
- 管理画面のログイン情報を確認する：店舗管理画面のログインIDとパスワードが漏えい対象に含まれている。同社は認証情報のリセットと二要素・二段階認証を含む認証強化を実施したとしているが、同じパスワードを他のサービスで使っていれば、そちらも変更する。
- 過去の利用店舗も対象：すでにショップサーブを解約した店舗の顧客情報も対象に含まれる。旧サイトの顧客への説明や問い合わせ対応の準備が必要になる場合がある。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが中小企業のECサイトを診断すると、「サイトは制作会社やECサービスに任せているので、顧客情報がどこに、何年分保存されているか分からない」という回答が少なくありません。今回のように、解約した後も過去の顧客データが提供事業者の側に残り、漏えいの対象になることもあります。
【平易な解説】商店街の多くのお店が、同じ会社の倉庫に顧客台帳を預けていたところ、その倉庫に2か月以上にわたって泥棒が出入りしていた、という状況です。お店ごとに戸締まりをしていても、共通の倉庫が破られれば、すべてのお店の顧客が影響を受けます。
【今週中にできること】ECサービスを利用している事業者は、①顧客データがどこに保存されているか、②解約後のデータはいつ削除されるか、③事故があった場合に誰から、どのように連絡が来るか、の3点をサービス提供者に確認してください。あわせて、管理画面には二要素認証を設定し、ほかのサービスと同じパスワードを使わないようにしましょう。
参照: Eストアー「ショップサーブ」不正アクセスに関する最終報（2026年10月16日） ／ ビジネス+IT ／ ネットショップ担当者フォーラム