Eストアーのショップサーブに不正アクセス 最終報｜約2,335万6千人が対象

ネットショップの構築・運営サービス「ショップサーブ」を提供する Eストアーは、2026年8月に公表したサーバーへの不正アクセスについて、外部の専門機関の調査を含む調査が終わったとする最終報を出しました（Eストアーの2026年10月16日の発表）。 漏えいの対象は、ショップサーブで買い物をした客・店舗の運営者・アフィリエイターを合わせて約2,335万6千人で、対象の店舗は過去の利用を含めて7,858店です。 ショップサーブでネットショップを開いている会社と、そこで買い物をした人に関係します。

公表された内容

• 件数：約23,356,000人（客・店舗運営者・アフィリエイターの合計）。うちクレジットカード情報の一部を含むのは約2,096,900人。複数の項目で名寄せした概数で、重複を除き切れていないものがあるとしています（2026年10月16日の発表）
• 対象の店舗：7,858店（今使っている店舗と、過去に使っていた店舗を含む）
• 客の情報：氏名・住所・電話番号・FAX 番号・メールアドレス・勤務先・任意で入力した情報（配送先を含む）。会員 ID と暗号化したパスワード（メルマガ会員を含む）
• カード情報：カードの名義、番号の先頭6桁と下4桁、有効期限。カード番号の全桁とセキュリティコードは持っておらず、対象に含まれないとしています
• 店舗・アフィリエイターの情報：ショップサーブの管理画面のログイン ID とパスワード、コンビニ払込票に載る店舗の情報（販売責任者の氏名・店舗名・住所・電話番号など）、アフィリエイト登録者のメールアドレスとパスワード
• 対象から外れたもの：第2報で対象としていた店舗のメールシステムと FTP の ID・パスワード、Eストアーからの振込先の口座情報は、調査の結果、漏えいの対象ではなかったとしています
• 原因：外部の第三者が、同社のサーバーで動くアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送っていたとしています。どの脆弱性かは公表されていません。確定した侵入経路のほかに侵害やバックドアは確認されていないとしています
• 期間：2026年5月21日から8月1日まで。8月1日に攻撃元からの通信を遮断し、その後は攻撃が成り立っていないことを確かめたとしています
• 二次被害：具体的な二次被害の報告はなく、専門機関の調査でダークウェブへの流出も確認されていないとしています

経緯

• 2026年8月1日：第1報。購入者情報の漏えいを公表し、件数は最大で延べ8,853,839件（人数ではない）とする
• 2026年8月2日：第2報。期間が5月21日〜8月1日と分かり、カード情報の一部と店舗の管理画面の ID・パスワードなども対象になり得るとして、パスワードの変更と二段階認証の設定を呼びかける
• 2026年10月16日：最終報。調査が終わり、対象を約2,335万6千人・7,858店で確定

会社の対応

• 攻撃元からの通信の遮断、悪用された脆弱性の修正、影響の範囲の点検、認証情報のリセット
• 対象者への個別の連絡（連絡先が分からない人には、お知らせと問い合わせ窓口で代える）
• 個人情報保護委員会と関東総合通信局への報告、所轄の警察署への相談
• 再発防止として、アプリケーションとサーバーの脆弱性診断と是正、管理画面などの認証の強化（二要素・二段階認証を含む）を挙げています

中小企業が今日からできること

• ネットショップの管理画面のパスワードを変える：ショップサーブに限らず、ネットショップの管理画面・決済サービス・メール配信サービスで同じパスワードを使っていないかを確かめ、別々のものに変える
• 二段階認証を設定する：管理画面に二段階認証（ログイン時のコードの入力など）があれば、担当者全員のアカウントで有効にする
• 客への案内の文を用意する：ショップサーブで店を開いている（開いていた）なら、「カード情報の再入力や再決済をメールで求めることはない」という知らせを、自社のサイトに出せるよう用意する
• 使っているサービスの事故の知らせを受け取れるようにする：ネットショップの構築サービスからのお知らせが、退職した人のメールアドレスにだけ届いていないかを確かめる
• 持っている客の情報を減らす：使っていない会員の情報や古い注文の情報を、サービスの設定で消せるかを確かめ、必要のないものは残さない