Eストアー「ショップサーブ」の不正アクセス(2026年8月公表)

概要

公表日

2026年8月1日

発生

2026年5月NaN日

検知・発覚

2026年8月1日

最新の公表

2026年10月16日

組織・業種

Eストアー「ショップサーブ」(EC構築SaaS / IT・SaaS・SI・BPO)

漏えいした情報・件数

対象者 約2,335万6,000人(購入者・会員、店舗運営者、アフィリエイターを名寄せした概数。2026-10-16の最終報)。うちカード名義・番号の先頭6桁と下4桁・有効期限を含む人 約209万6,900人。対象店舗 7,858店(現在と過去の利用店舗)。ほかに購入者情報、会員ID・暗号化されたパスワード、店舗の管理画面のID/パスワード、コンビニ払込票の店舗情報、アフィリエイト登録のメールアドレス・パスワード。当初は延べ885万3,839件と発表(同一人物の複数の登録を含み、人数ではない)。第2報で対象とした店舗メール・FTPの認証情報と振込先口座は、最終報で対象外と確認

業務への影響

攻撃元の通信を遮断。店舗に管理画面などのパスワード変更と二段階認証の設定を要請。対象者への個別連絡は完了(最終報)

業績への影響

未公表

犯行グループ(攻撃者の主張)

未公表

行政の対応

個人情報保護委員会と関東総合通信局へ報告書を提出し、所轄警察署へ相談(最終報)

手口

利用しているSaaS・他社製ソフト委託先・取引先経由

調査報告書・再発防止策

公式の資料を開く ↗

何から手を付けるか迷ったら、無料で初動相談ができます →

経緯

1. 2026年5月21日

   外部の第三者が、ショップサーブのサーバー上で稼働するアプリケーションの脆弱性を悪用し、不正なプログラムの実行を始める(第2報・最終報で判明)。 [6]

2. 2026年8月1日

   購入者情報の外部への漏えいを確認し、第1報を公表。この時点では発生を8月1日9時9分〜11時6分ごろとしていた。攻撃元の通信を遮断。 [1]

3. 2026年8月2日

   第2報。発生期間を5月21日〜8月1日に広げ、延べ8,853,839件と公表。会員情報、カード情報の一部、店舗の認証情報と振込先口座も対象とした。 [2]

4. 2026年9月18日

   過去にショップサーブを使っていたPFUが、旧ECサイトの注文データ最大169,355件が対象と公表するなど、出店企業の個別公表が続く。 [4]

5. 2026年10月16日

   最終報。外部の専門機関によるフォレンジック調査が完了。原因はアプリケーションの脆弱性で、対象者は約2,335万6,000人、カード情報の一部を含む人は約209万6,900人、対象店舗は7,858店と確定。店舗メール・FTPの認証情報と振込先口座は対象外と確認。 [6]

侵入経路と原因

2026年10月16日の最終報によると、外部の第三者が、Eストアーのサーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースに格納された情報を外部へ送っていました。脆弱性の具体的な内容は公表されていません。

会社は、外部の専門機関によるフォレンジック調査が完了し、この経路以外の侵害や、バックドア(攻撃者が後から入るための裏口)などの不正なプログラムの設置は認められなかったとしています。8月1日に攻撃元の通信を遮断して以降、攻撃は成立していないと説明しています。

発生期間は、調査が進むにつれて大きく変わりました。第1報では、8月1日の9時9分〜11時6分ごろの約2時間としていました。翌日の第2報で、5月21日から8月1日までの約2カ月半に広げ、最終報でもこの期間を確定しています。気づくまでの間、不正なプログラムが動き続けていたことになります。

ショップサーブは、多くの事業者が自社のECサイトを作るために使うサービスです。そのため、1つのサービスの侵害が、利用するさまざまな店舗の購入者に一度に及びました。

影響

最終報で確定した対象者は約2,335万6,000人です。購入者・会員、店舗運営者、アフィリエイターを合わせ、複数の項目の一致を基準に名寄せした数です。一致の基準に満たない重複は除けないため、会社は概数としています。当初の第2報では延べ8,853,839件と発表していました。これは同じ人の複数の登録データを含む件数で、人数ではありません。

購入者の情報は、配送先を含む氏名・住所・電話番号・FAX番号・メールアドレス・勤務先、任意で入力した情報です。メールマガジン会員を含む会員の会員IDと、暗号化されたパスワードも含まれます。会社は、パスワードが特定される可能性は低く、ログイン先の店舗を結びつける情報も含まれないため、会員マイページへの不正アクセスの可能性は低いと判断しています。

クレジットカードの情報を含む人は約209万6,900人です。対象は名義、番号の一部(先頭6桁と下4桁)、有効期限です。完全なカード番号とセキュリティコードは保持しておらず対象外で、会社はこの情報だけでは決済できないとしています。

対象店舗は7,858店で、現在の利用店舗と過去の利用店舗を含みます。店舗側の情報は、ショップサーブ管理画面のログインIDとパスワード、コンビニ払込票に載る店舗情報(販売責任者の氏名、店舗名、住所、電話番号など)です。アフィリエイトプログラムの登録者のメールアドレスとパスワードも含まれます。第2報で対象とした店舗メールシステムとFTPのIDとパスワード、Eストアーからの振込先口座は、調査の結果、対象外と確認されました。

利用店舗の個別公表も続きました。PFUは2026年9月18日、2025年10月に利用を終えた旧ECサイトについて、注文データ最大169,355件が対象と公表しました。キングジムなどの出店企業も、過去の利用者の情報が対象になったと個別に公表しています。利用をやめたあとも、データがサービス側に残っていたことになります。会社は、関係会社のサービスは別の環境で運用されており、漏えいは起きていないとしています。

会社の対応と再発防止策

会社は8月1日に攻撃元からの通信を遮断し、遮断後にアクセスできない状態になったことを確認しました。最終報では、悪用された脆弱性の修正、影響範囲の点検、認証情報のリセットなどを実施済みとしています。対象の購入者・店舗・アフィリエイターへの個別の連絡は完了し、連絡先が分からない人には最終報の公表と問い合わせ窓口で代えるとしています。

個人情報保護委員会と関東総合通信局に報告書を提出し、所轄警察署へ相談しました。最終報の時点で、本件に起因する二次被害の報告は確認されておらず、外部の専門機関の調査でもダークウェブ上への流出は確認されていないとしています。

再発防止策として、脆弱性の修正と攻撃経路の遮断、残っている脅威の調査、アプリケーションとサーバーの脆弱性診断と検出事項の是正、管理画面などの認証の強化(二要素認証または二段階認証を含む)を実施したとしています。

利用者には、会社や金融機関を装った不審なメール・SMS・電話への注意を呼びかけています。会社がカード情報の再入力や再決済、パスワードを求めることはないとしています。会社は最終報をもって調査結果の最終報告としました(2026年10月30日時点)。

この事案から学べること

• 自社でECサイトを作っていなくても、使っているEC構築サービスが侵害されれば、自社の顧客の情報が漏れる。
• サービスの利用をやめても、過去の注文データが事業者側に残っていれば漏えいの対象になる。
• サーバー上で不正なプログラムが2カ月以上動いていた。外部への不審な送信に気づける監視が要る。
• 最初に公表された数字は延べ件数で、名寄せした人数は調査の完了まで分からなかった。続報で数字と対象項目が変わる前提で、自社の案内を組み立てる必要がある。

自社で確認すること

1. 1 使っているEC構築サービス・SaaSに、どの顧客データが何年分残っているかを把握していますか。
2. 2 利用をやめたサービスに、データの削除を依頼して完了を確認しましたか。
3. 3 SaaSの管理画面のアカウントに二段階認証をかけ、パスワードを他と使い回していないことを確認していますか。

経営者・情シスが今週確認する10項目を見る →

同じ手口の事案

関連する事案

• 2026年6月23日 ・ KDDI ISP向けメールシステムの脆弱性で、メールアドレス約1,223万件
• 2025年4月15日 ・ IIJ 他社製Webメールソフトの未知の脆弱性で、31万アカウントの漏えいを確認
• 2026年2月 ・ マイナビ 業務で使う外部クラウドサービスが侵害され、最大11万件
• 2026年9月16日 ・ Gyazo アップロードサーバの脆弱性で、ユーザー関連データ約2,362万件

よくあるご質問

ショップサーブの店舗で買い物をしたことがあります。何をすればよいですか?

Eストアーは、会社や金融機関を装った不審なメール・SMS・電話への注意を呼びかけています。会社がカード情報の再入力や再決済、パスワードを求めることはないとしています。対象者への個別の連絡は完了したとされ、利用した店舗名の確認などはEストアーの問い合わせ窓口(フォームまたは support@estore.co.jp)で受け付けています(2026年10月16日の最終報)。

クレジットカード番号は全部漏れましたか?

最終報によると、漏えいしたのはカード名義、番号の一部(先頭6桁と下4桁)、有効期限で、対象は約209万6,900人です。完全なカード番号とセキュリティコードは保持しておらず対象外で、会社はこの情報だけでは決済できないとしています。

漏えいの件数は885万件ではないのですか?

885万3,839件は、2026年8月2日の第2報で発表された延べ件数で、同じ人の複数の登録を含み、人数ではありません。10月16日の最終報では、購入者・会員、店舗運営者、アフィリエイターを名寄せした対象者を約2,335万6,000人(概数)と発表しています。

出典

1. 不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて ↗ (株式会社Eストアー、2026-08-01)
2. 不正アクセスによる個人情報漏えいに関するお知らせ(第2報) ↗ (株式会社Eストアー、2026-08-02)
3. 885万件超の情報漏えいが発覚 BASE子会社のEストアーが不正アクセス被害 ↗ (@IT、2026-08-05)
4. PFUダイレクト本店における個人情報漏えいに関するお詫びとお知らせ ↗ (株式会社PFU、2026-09-18)
5. BASE子会社EストアーのEC構築・支援サービス「ショップサーブ」に不正アクセス、最大約885万件の店舗および購入者の情報が漏えい ↗ (INTERNET Watch、2026-08-03)
6. 不正アクセスによる個人情報漏えいに関するお知らせ(最終報) ↗ (株式会社Eストアー、2026-10-16)