ネットショップ基盤「ショップサーブ」に不正アクセス。約2,335万人の情報が漏えい、7,858店が対象

01発表されている事実

1. 2026年5月21日〜8月1日

   アプリケーションの脆弱性を悪用され、不正なプログラムでデータベースの情報が外部へ送られていた（最終報）

2. 2026年8月1日

   9時09分〜11時06分ごろの外部送信を確認。攻撃元の通信を遮断し、第1報を公表（最大で延べ8,853,839件）

3. 2026年10月16日

   最終報。対象は約23,356,000人・7,858店。数え方を件数から人数に改めた

最終報によると、漏えいした項目には氏名・住所・電話番号・メールアドレスなどが含まれます。クレジットカード情報は約2,096,900人分が対象で、内容はカード名義、カード番号の一部（先頭6桁と下4桁）、有効期限です。完全なカード番号とセキュリティコードは保持していなかったため含まれず、Eストアーは「漏えいした情報だけではカード決済はできない」としています。お客様の会員パスワードは暗号化して管理しており、悪用の可能性は低いと判断しています。一方、店舗の管理画面のログインID・パスワードとアフィリエイターの認証情報は漏えいの対象で、リセットなどの対応を済ませたとしています。同社は個人情報保護委員会と関東総合通信局に報告し、所轄警察署にも相談しています。

02読者への影響

ショップサーブは多くの中小の通販サイトの土台になっているため、店名だけでは自分が対象か分かりにくいのが特徴です。Eストアーは対象者への個別連絡を終えたとしていますが、連絡先が分からない人には公表で代えるとしています。心配な人は同社の窓口（support@estore.co.jp）に問い合わせられます。

カード番号の一部と有効期限、氏名や住所がそろうと、本物らしく見える「再決済のお願い」「返金手続き」などの偽メールやSMSが作りやすくなります。Eストアーは、同社からカード情報の再入力や再決済を求めることはなく、メールやSMSでパスワードを尋ねることもないと明言しています。

03今すぐやること

1. ここ数年に中小の通販サイトで買い物をした人は、カードの利用明細を確かめ、覚えのない請求があればカード会社に連絡する
2. 「ショップ」「Eストアー」「カード会社」を名乗る再決済・返金・本人確認の連絡は、リンクを開かず、公式サイトや正規の電話番号で確かめる
3. メールアドレスをIDにしているほかのサービスは、サービスごとに違うパスワードにし、二段階認証を有効にする

04ネットショップを運営している会社がすること

ショップサーブを使っている（使っていた）店舗は、管理画面のパスワード変更と二段階認証の設定を済ませてください。自社のサイトでも、外部サービスの上で動いている部分は自分では直せません。委託先やサービス事業者に、脆弱性診断の実施状況や管理画面の多要素認証を確かめておくと、同じ型の被害に早く気づけます。図鑑の「脆弱性診断」や「WAF」の分類では、中小企業でも頼める会社と製品を比べられます。お客様向けに、偽の連絡への注意を自社サイトで案内しておくのも有効です。