【Eストアー】ECサイト構築・運営支援サービス「ショップサーブ」に不正アクセス、約2,335万6,000人の購入者情報などが漏えい、うち約209万人はカード番号の一部も（最終報）

公表：2026年8月1日（第1報）、8月2日（第2報）／続報：2026年10月16日（最終報：調査完了、対象人数を確定）

3行でわかるポイント

1. Eストアーが運営するECサイト構築・運営支援サービス「ショップサーブ」のサーバーが、2026年5月21日から8月1日まで外部から攻撃され、データベースの情報が外部へ送られていました。
2. 漏えいの対象は約2,335万6,000人で、購入者の氏名・住所・電話番号・メールアドレスなどが含まれます。このうち約209万6,900人は、カード名義・カード番号の一部（先頭6桁と下4桁）・有効期限も対象です。
3. 完全なカード番号とセキュリティコードは含まれていません。不審なメール・SMS・電話に注意してください。

何が起きたか

Eストアーは10月16日、ショップサーブへの不正アクセスについて、外部の専門機関による調査を含む一連の調査が終わったとして「最終報」を公表しました。外部の第三者が、同社のサーバーで動くアプリケーションの弱点（脆弱性）を悪用して不正なプログラムを動かし、データベースの情報を外部に送っていました。期間は2026年5月21日から8月1日までで、同社が気づいた8月1日に攻撃元との通信を遮断しています。ほかの経路からの侵入や、裏口となる不正なプログラム（バックドア）の設置は見つからなかったとしています。

対象の店舗は、現在使っている店舗と過去に使っていた店舗を合わせて7,858店です。

漏れた情報

第2報で対象としていた「店舗メールシステムのログインID・パスワード、FTPのID・パスワード、同社からの振込先口座情報」は、調査の結果、漏えいしていなかったとして対象から外しました。

影響／原因

公表時点で、この件による具体的な二次被害の報告は確認されておらず、ダークウェブ上への流出も確認されていないとしています。同社は弱点の修正、残った脅威の調査、脆弱性診断、管理画面の認証強化（二要素認証・二段階認証を含む）を実施しました。漏えいの対象者への個別連絡は完了しており、連絡先が分からない人には公表と問い合わせ窓口の設置で代えるとしています。個人情報保護委員会と関東総合通信局に報告書を出し、警察にも相談しています。同社の関係会社のサービスは別の環境で動いており、対象ではないとしています。

利用者が今すべきこと

1. ショップサーブで作られたネットショップで買い物をしたことがある人は、Eストアーや金融機関を名乗る不審なメール・SMS・電話に注意してください。
2. 同社はこの件でカード情報の再入力や再決済を求めることはなく、メールやSMSでパスワードを尋ねることもないとしています。
3. カードの利用明細に身に覚えのない請求がないか確認しましょう。
4. どの店舗で使ったか確かめたい場合などは、Eストアーの問い合わせフォームまたはメール（support@estore.co.jp）が窓口です。

私たちが学べること

ネットショップの多くは、ショップサーブのような共通の基盤サービスの上で動いています。1つの基盤が攻撃されると、利用者は買い物をした覚えのある店の名前ではなく、聞き慣れない会社から連絡を受けることになります。届いた連絡は、店名や会社名で公式サイトを自分で検索して確かめるのが安全です。

経過

出典

1. Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）
2. セキュリティ対策Lab（10月16日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。