ショップサーブ不正アクセス最終報｜約2,336万人・7,858店。店舗が顧客に知らせることとやること

01この記事でわかること

先に3行でまとめます。

• 何が起きたか：2026年5月21日から8月1日まで、ショップサーブのサーバーでアプリケーションの脆弱性（ぜいじゃくせい、ソフトの欠陥）が悪用され、データベースの情報が外部に送られていました。
• 店舗への影響：対象は現在と過去の利用店あわせて7,858店。購入者の氏名・住所などに加え、管理画面のログイン情報も漏えいの対象です。
• 店舗がやること：自社が対象かをEストアーに確かめ、管理画面の認証を見直し、お客様への案内と、個人情報保護委員会への報告が自社に必要かを確認します。

このあと、発表の流れ、漏れた情報、対象かどうかの確かめ方、通知と報告の考え方、店舗と購入者それぞれのやること、防ぎ方の順に説明します。

02何が起きたのか（全体像）

ショップサーブは、中小企業が自社の通販サイトを作って運営するためのサービスです。店舗はEストアーのサーバーの上で商品ページや注文の受け付けを動かします。そのため、店舗のお客様の情報も、Eストアーのサーバーに保存されます。

最終報によると、外部の第三者が、Eストアーのサーバーで動くアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送っていました。期間は2026年5月21日から8月1日までです。Eストアーは8月1日に気づいて攻撃元からの通信を遮断し、それ以降は攻撃が成立していないことを確認したとしています。外部の専門機関によるフォレンジック調査（不正アクセスの痕跡を調べて、何が起きたかを確かめる調査。用語集：フォレンジック）の結果、この経路以外の侵入はなく、バックドア（攻撃者があとで再び入るための裏口）も見つからなかったとしています。

ここで大事なのは、店舗側に落ち度がなくても、お客様の情報が漏れたという点です。店舗は自社のサーバーを持っていなくても、お客様から見れば「その店で買い物をしたら情報が漏れた」ことになります。外部のサービスを通じて被害が広がる形は、サプライチェーン攻撃とも呼ばれます（用語集：サプライチェーン攻撃）。

Eストアーは、ネットショップ支援のBASE株式会社の子会社です。BASEも同じ日に「当社子会社のEストアーにおける不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」を出しました。BASEは、自社と関係会社のサービスは対象のサーバーとは完全に異なる環境で動いており、情報漏えいは起きていないと確認したとしています。

03発表の時系列（第1報から最終報まで）

Eストアーの発表は3回です。回を追うごとに、期間、漏れた情報、数え方が変わっています。

1. 2026年5月21日
   （最終報で判明）

   不正アクセスによる外部への送信が始まる

2. 2026年8月1日
   第1報

   同日9時09分〜11時06分ごろの外部送信を確認。通信を遮断。最大で延べ8,853,839件。個人情報保護委員会へ報告し、警察への届け出も検討

3. 2026年8月2日
   第2報（14時時点）

   期間が5月21日からと判明。会員ID・パスワード、カード情報の一部、店舗の管理画面・メール・FTPの情報、振込先口座情報を追加。店舗にパスワード変更を依頼

4. 2026年9月18日
   （利用店の発表の例）

   過去の利用店だった株式会社PFUが、自社の通販サイトの顧客情報が含まれていたと発表

5. 2026年10月16日
   最終報

   調査が完了。約2,335万6千人・7,858店に確定。メール・FTP・口座情報は対象外と判明。個別の連絡は完了

件数の数え方の変化に注意してください。第1報・第2報の8,853,839件は「登録データの延べ件数」で、同じ人が何度も数えられている可能性がありました。最終報の約2,335万6千人は「人数」で、お客様、店舗の運営者、アフィリエイター（紹介報酬を受け取る登録者）を合わせた数です。複数の項目が一致したものを同じ人とみなして重複を除いていますが、基準に届かない重複は残るため、概数とされています。

数字が約885万から約2,336万に増えたのは、調査が進んで対象の範囲が確定したためです。最終報には、件数がなぜこの差になったかの細かい説明はありません。

04何が漏れたのか（第2報からの変更点）

最終報で確定した漏えいの対象は、次のとおりです。

第2報で対象とされていた「店舗メールシステムのID・パスワード」「FTP（サイトのファイルをやりとりする仕組み）のID・パスワード」「Eストアーからの振込先口座情報」は、調査の結果、対象に含まれていないと分かり、最終報で外されました。第2報を見て口座の不正利用を心配していた店舗にとっては、ひとつ安心できる点です。

一方で、店舗にとって重いのは管理画面のログイン情報です。管理画面に入られると、注文や顧客の一覧を見られたり、サイトを書き換えられたりするおそれがあります。最終報は、二次被害の具体的な報告はなく、ダークウェブ（一般の検索では出てこない、不正な取引に使われることがあるネット上の場所）への流出も確認されていないとしています。

05自社の店が対象か確かめる方法

ショップサーブは多くの店の土台になっているので、店舗名から自社が対象かは判断できません。最終報によると、対象店舗の7,858店には現在の利用店と、過去に利用していた店の両方が含まれます。すでに別のサービスに移った店も、対象の可能性があります。

たとえば株式会社PFUは9月18日、通販サイト「PFUダイレクト本店」の顧客情報が含まれていたと発表しました。この店は2025年10月にショップサーブの利用をやめていましたが、2008年12月から2025年10月までの注文データ（最大169,355件の注文）が対象になりました。PFUはEストアーから8月2日に連絡を受け、9月17日に自社の顧客情報が含まれることと、漏えいした項目を確認したとしています。移行済みでも安心はできない、という分かりやすい例です。

確かめ方は次のとおりです。

1. Eストアーからの個別の連絡が届いていないかを確認する。最終報によると、対象の店舗への個別の連絡は完了しています。管理画面のお知らせ、登録しているメールアドレス、過去の担当者のメールも見てください。
2. 連絡が見当たらない場合や、詳しく知りたい場合は、店舗向けの窓口「Eストアーデスク」（電話03-6434-0946、平日10時〜18時、メール sp@estore.co.jp）に問い合わせる。
3. 自社の顧客のうち、どの項目（住所だけか、カード情報の一部もか、会員情報もか）が対象かを確かめる。PFUの例では、カード情報と会員ID・パスワードは対象外でした。店ごとに対象の項目が違う可能性があります。
4. 対象の期間と件数を記録に残す。お客様への案内や、報告の要否を判断する材料になります。

なお、Eストアーの連絡を装った偽のメールにも注意してください。問い合わせは、届いたメールのリンクからではなく、Eストアーの公式サイトに載っている窓口から行うのが安全です。

06顧客に何を知らせるか（通知と報告の考え方）

ここがこの記事の中心です。まず前提として、店舗が自社のお客様に何か案内すべきかどうか、個人情報保護委員会に自社として報告すべきかどうかについて、Eストアーの発表は触れていません。そこで、個人情報保護委員会のガイドライン（通則編）に書かれた考え方を紹介します。最終的な判断は、Eストアーとの契約の内容や、自社でのデータの扱い方によって変わります。迷う場合は、個人情報保護委員会の相談窓口や弁護士に確認してください。

報告と本人への通知が必要になる4つの場合

個人情報保護法では、個人データの漏えい等（そのおそれを含む）が次のどれかに当たると、会社は個人情報保護委員会に報告し、本人に通知しなければなりません（用語集：個人情報保護法、用語集：個人情報保護委員会）。

• 要配慮個人情報（病歴など）が含まれる
• 不正に使われると財産的な被害が出るおそれがある
• 不正の目的で行われたおそれがある行為による（不正アクセスはここに当たる例としてガイドラインに書かれています）
• 本人の数が1,000人を超える

ガイドラインは3つ目について、不正な行為の相手には、その会社が個人データの扱いを任せている委託先や、個人データを扱うために利用している第三者のサービスも含むと書いています。つまり、攻撃されたのがEストアーのサーバーでも、店舗のお客様の個人データであれば、店舗の側でも報告の対象になりうる、という考え方です。

委託先が知らせたときの扱い

ガイドラインでは、個人データの扱いを委託している場合、原則として委託元と委託先の両方が報告の義務を負います。連名で報告することもできます。委託先が、委託元に必要な事項を速やかに知らせた場合は、委託先の報告と本人への通知の義務は免除され、知らせを受けた委託元が報告します。委託元は、遅くとも知らせを受けた時点で事態を「知った」ことになる、とされています。

今回、Eストアーは自社として個人情報保護委員会と関東総合通信局に報告書を出し、対象のお客様への個別の連絡も済ませたとしています。ただ、Eストアーの報告が各店舗の分まで含むのか、店舗が別に報告する必要があるのかは、公表されていません。自社がどちらに当たるかは、Eストアーデスクに確認するのが近道です。

期限の目安

ガイドラインの目安は、速報が事態を知ってから概ね3〜5日以内、確報が30日以内です。不正の目的によるおそれがある場合（今回のような不正アクセス）は、確報の期限が60日以内になります。速報の時点では、分かっていることだけを報告すれば足ります。

本人への通知と、通知が難しいときの代わりの方法

本人への通知は、郵便やメールなどで本人に直接知らせることです。知らせる内容は、概要、漏れた項目、原因、二次被害のおそれ、本人が取れる対策などです。連絡先が古いなどで通知が難しいときは、事案の公表や、本人が自分が対象か確かめられる問い合わせ窓口を設けることが、代わりの方法として認められています。Eストアーも最終報で、連絡先が分からない人には公表と窓口の設置で代えるとしています。

PFUのように、店舗が自社のサイトでもお知らせを出し、Eストアーの窓口と自社の窓口の両方を案内する方法もあります。お客様が「この店の名前のメールは本物か」と迷ったときに、自社のサイトで確かめられるようにしておくと、偽の連絡にだまされる人を減らせます。

07店舗として今すぐやること

立場別に、店舗の運営者がやることを並べます。

今日やること

• 管理画面のパスワードを変え、二段階認証を設定する。Eストアーは第2報で、不正ログインを防ぐために二段階認証の利用を勧めていました。最終報ではログイン情報のリセットなどを済ませたとしていますが、設定を自分で確かめておきましょう（用語集：多要素認証）。
• 管理画面のパスワードをほかのサービスでも使っていた場合は、そちらも変える。
• 管理画面のログイン履歴、商品ページや決済画面の表示に、覚えのない変更がないか確認する。

今週やること

• Eストアーデスクに、自社が対象か、対象の項目と期間、Eストアーが自社のお客様にどう連絡したかを確認する。
• 個人情報保護委員会への報告が自社に必要かを確認する（前の節を参照）。
• お客様向けのお知らせを自社のサイトに出すかを決める。出す場合は、漏れた項目、原因がショップサーブへの不正アクセスであること、問い合わせ先、偽の連絡への注意を書く。
• 電話やメールでの問い合わせに答える担当者と、答え方の要点を決めておく。

お客様向けの案内に入れたい一文

Eストアーは、カード情報の再入力や再決済をお願いすることはなく、メールやSMSでパスワードを聞くこともないとしています。自社の案内でも「当店からカード情報の再入力をお願いすることはありません」と明記すると、店の名前をかたる偽メールへの注意喚起になります。

08買い物をした人が今すぐやること

ここ数年、中小の通販サイトで買い物をした人は、自分が対象かもしれません。次のことをしてください。

• カードの利用明細を確かめ、覚えのない請求があれば、カードの裏面に書かれたカード会社に連絡する。
• 店舗、Eストアー、カード会社、金融機関を名乗る「再決済」「返金」「本人確認」のメールやSMS、電話に応じない。リンクは開かず、公式サイトや正規の電話番号で確かめる（用語集：フィッシング、詐欺メール・迷惑電話の対策）。
• メールアドレスとパスワードをほかのサービスでも同じにしている場合は、サービスごとに違うパスワードに変え、使えるところでは二段階認証を設定する（パスワード管理ソフトの比較）。
• どの店で使ったかを確かめたいときは、Eストアーの「個人情報に関するお客様ご相談窓口」（support@estore.co.jp、または最終報にある問い合わせフォーム）に問い合わせる。

カード情報について、漏れたのは名義、番号の先頭6桁と下4桁、有効期限です。Eストアーは、これだけでは決済できないとしています。ただし、名前や住所と組み合わせると、本物らしい偽メールを作る材料にはなります。慌てて何かを入力するのではなく、届いた連絡を疑うことが一番の対策です。

09Eストアーの対応と補償

最終報に書かれたEストアーの対応は、次のとおりです。

• 攻撃元からの通信の遮断と、遮断後にアクセスできないことの確認
• 悪用された脆弱性の修正、影響範囲の点検、認証情報のリセット
• 対象のお客様、店舗、アフィリエイターへの個別の連絡（完了）
• 個人情報保護委員会と関東総合通信局への報告書の提出、所轄警察署への相談

再発防止策としては、脆弱性の修正と攻撃経路の遮断、残っている脅威の調査、アプリケーションとサーバーの脆弱性診断と見つかった問題の修正、管理画面などの認証の強化（二要素認証または二段階認証を含む）を実施したとしています。

補償については、最終報にも第1報・第2報にも記載がありません。お客様への見舞金や、店舗への利用料の減額なども発表されていません。店舗が自社の対応にかかった費用（お知らせの郵送、問い合わせ対応など）をどう扱うかも、公表されている情報からは分かりません。気になる店舗は、Eストアーデスクに直接確認してください。

問い合わせ窓口は、購入者・会員とアフィリエイターが「個人情報に関するお客様ご相談窓口」（フォームまたは support@estore.co.jp）、店舗が「Eストアーデスク」、報道機関が広報PR担当（pr@estore.co.jp）です。最終報は、お客様からの問い合わせへの回答に時間がかかっていることをおわびし、順次回答するとしています。

10まだ分かっていないこと

2026年10月29日時点で、公式の発表から分からないことは次のとおりです。

• 悪用された脆弱性が、どのアプリケーションのどんな欠陥だったか（最終報は「アプリケーションの脆弱性」とだけ書いています）
• 5月21日から8月1日まで、2か月以上気づけなかった理由
• Eストアーの報告が各店舗の報告義務をどこまで含むのか
• お客様や店舗への補償の有無
• 延べ件数（約885万件）から人数（約2,336万人）へ、数字がどういう内訳で変わったのか
• 攻撃者がだれか（Eストアーは公表していません。この記事でも推測はしません）

Eストアーは今回の発表を最終報告としています。新しい事実が出てきた場合に追加の発表があるかは、分かりません。

11同じことを防ぐには（中小企業向け）

ショップサーブのような外部のサービスは、店舗が自分でサーバーを直すことはできません。それでも、店舗の側でできることはあります。

サービスを選ぶとき、使い続けるときに確かめること

• 管理画面に二段階認証やIPアドレスの制限（決まった場所からしか入れない設定）があるか。あれば必ず使う。
• サービス事業者が定期的に脆弱性診断をしているか、事故のときにどう連絡してくれるか、契約書や利用規約に書かれているか。
• 使うのをやめたあとも、過去の顧客データがサービス側に残るのか。残るなら、いつ消えるのか。PFUの例のように、やめたあとに対象になることがあります。

事故に備えて準備しておくこと

• お客様向けのお知らせのひな形と、問い合わせ対応の担当者を決めておく。
• 個人情報保護委員会への報告の流れ（速報3〜5日、確報30日または60日）を社内で共有しておく。
• 事故対応の費用に備えて、サイバー保険を検討する（サイバー保険の比較）。
• 自社で作ったサイトや独自の機能がある場合は、脆弱性診断を受ける（脆弱性診断の比較、WAFの比較）。

IPA（情報処理推進機構）は、ECサイトを運営する中小企業向けに「ECサイト構築・運用セキュリティガイドライン」を公開しています。管理画面へのアクセス制限、ソフトの最新化、ログの保管などが、チェックリストの形でまとまっています。自社構築のサイトが中心の内容ですが、サービス事業者に何を確かめればよいかを考える材料にもなります。

中小企業向けの対策の全体像は中小企業のセキュリティ対策、情報漏えいへの備えは情報漏えいを防ぐのページで比べられます。同じ10月には、別のEC構築サービスでも不正アクセスが公表されています（futureshopの不正アクセス）。外部のサービスに頼るほど、そのサービスの事故が自社の事故になる、という前提で備えておくことが大切です。

12よくある質問

13今後の予定と更新方針

Eストアーは10月16日の発表を最終報告としています。この記事は、2026年10月29日時点の公式発表をもとにしています。Eストアーや親会社のBASE、個人情報保護委員会から新しい発表があれば、内容を確かめたうえで追記します。とくに、補償、店舗の報告義務の扱い、脆弱性の詳細について発表があれば、この記事に反映します。

お客様からの問い合わせが来て困ったときや、自社の顧客情報が漏れたかもしれないときの初動は、被害にあったときの対処にまとめています。