【インシデント速報】2026年8月4日｜ショップサーブ885万件流出・講談社が取引先偽装フィッシング被害
secure2026年8月4日（火）速報
EC構築サービス「ショップサーブ」で最大885万件が流出。委託先・利用中サービス経由の漏えいは自社に責任が及びます。従業員1人がフィッシングメールのリンクを踏んだだけで、講談社では取引先情報が窃取されました。MFAと従業員教育を今週中に点検してください。
本日のインシデント（8/1〜8/3公表）
Eストアー「ショップサーブ」に不正アクセス—最大885万3,839件の購入者情報が流出
- 公表日
- 2026年8月1日
- 被害組織
- 株式会社Eストアー（BASE子会社）／EC構築・支援サービス「ショップサーブ」
- 被害規模
- 最大885万3,839件（利用店舗および購入者の情報）
- 侵入期間
- 2026年5月21日〜8月1日
- 流出内容
- 氏名、住所、電話番号、メールアドレス、勤務先、配送先、会員ID、暗号化されたパスワード、カード名義、カード番号の先頭6桁と下4桁、有効期限（セキュリティコードは含まれない）
- 原因
- 第三者がサーバ上で不正なプログラムを実行し、購入者情報を外部へ送信
BASE傘下のEストアーは8月1日、ECサイト構築・運営支援サービス「ショップサーブ」が不正アクセスを受け、購入者の個人情報など最大885万3,839件が流出した可能性があると公表しました。攻撃者は2026年5月21日から8月1日にかけて同社サーバ上で不正プログラムを実行し、購入者情報を外部に送信していました。約2か月半にわたり侵入に気づけなかった点が被害を拡大させています。
カード番号は先頭6桁と下4桁のみで、セキュリティコードは流出していませんが、氏名・住所・カード有効期限などが揃っており、フィッシングや不正利用の材料としては十分です。とくにEC事業者を装い「再決済が必要」「返金手続き」「カード情報の更新」といった文面で偽サイトへ誘導する二次被害が想定されます。
中小企業への影響
自社が直接攻撃されなくても、利用しているECカート・予約・決済サービスが破られれば、自社の顧客情報が流出します。「クラウドに預けているから安全」ではなく、委託先で事故が起きたときの通知・補償・顧客対応の責任は利用企業側にも及びます。契約中のSaaSがどこまで情報を保持し、事故時にどう連絡が来るのかを把握しておく必要があります。
推奨対応
- 利用中のEC・決済・予約サービスを一覧化し、各サービスが保持する自社顧客情報の範囲を確認する
- 各サービスの管理画面でログイン履歴・不審なプログラム連携・APIキーを点検し、MFAを有効化する
- 顧客に「カード情報の更新」「再決済」を求めるメールは自社から送らない旨をあらかじめ告知し、なりすまし詐欺への注意喚起テンプレートを用意する
講談社の社用メールが不正アクセス—取引先偽装フィッシングで連絡先3,812件が窃取
- 公表日
- 2026年8月3日
- 被害組織
- 株式会社講談社
- 被害規模
- 最大3,812件（メールアドレスおよび一部の氏名）
- 発生日
- 2026年7月27日（フィッシング被害）〜7月30日（情報窃取）
- 流出内容
- 社用メールアカウント内の連絡先情報（メールアドレス、一部氏名）
- 原因
- 社員が取引先を装ったフィッシングメールのリンクをクリックし、偽ログイン画面に認証情報を入力
講談社は8月3日、社用メールアカウントが第三者による不正アクセスを受け、連絡先情報最大3,812件が流出したと公表しました。7月27日、社員が取引先を装ったフィッシングメールのリンクをクリックし、表示された偽のログイン画面にID・パスワードを入力。7月30日、攻撃者がそのアカウントにログインして連絡先を窃取し、当該社員になりすましたフィッシングメールを大量に送信しました。
同日中に社員本人が異常に気づき、パスワード変更とセッション削除を実施。7月31日には流出の可能性がある宛先へ通知し、個人情報保護委員会への報告も済ませています。被害件数は小さいものの、「1人の従業員がリンクを1回踏む」だけで会社全体の取引先が攻撃の起点にされる典型例です。
中小企業への影響
大企業でも入口は「従業員1人のクリック」です。乗っ取られたアカウントから取引先へフィッシングが再送信されるため、被害は自社にとどまらず取引先へ連鎖します。中小企業では1人が複数の役割を兼ねることが多く、1アカウントの乗っ取りが与える範囲はさらに広くなります。
推奨対応
- 全社員のメール・クラウドサービスにMFA（多要素認証）を必須化し、パスワードだけでは乗っ取れない状態にする
- 「取引先からのリンク付きメールでも、ログイン画面が出たらURLを確認する」を具体例つきで周知し、疑わしいメールの報告窓口を1つに決める
- アカウント乗っ取りが疑われたら、パスワード変更に加え「全セッションの強制ログアウト」まで行う手順を事前に用意する
編集部まとめ
2件に共通するのは「攻撃されたのは自社ではなかった」という点です。委託先サービス経由で885万件が流れたショップサーブ、従業員1人のクリックから取引先情報が抜かれた講談社——どちらも自社の防御が固いだけでは防げません。利用中サービスの棚卸しと、全社員へのMFA適用・フィッシング教育。この2つを今週の点検項目にしてください。
