Eストアー「ショップサーブ」に不正アクセス、最大885万3,839件の購入者の情報漏洩の恐れ|セキュリティとECのニュース-セキュリティ対策Lab

投稿日時: 2026年08月03日更新日時: 2026年08月03日

株式会社Eストアーは2026年8月1日、同社が運営するECサイト構築・運営支援サービス「ショップサーブ」のサーバーに外部から不正アクセスがあり、購入者情報が外部に漏えいしたと公表しました。翌8月2日の第2報では、確認されている発生期間が2026年5月21日から8月1日までとされ、購入者情報に加えて、会員ID・パスワード、クレジットカード情報の一部、店舗管理画面やFTPのID・パスワードなども漏えい対象に含まれることが新たに明らかになっています。

Eストアーは、現時点での公表件数を8,853,839件としています。ただし、この件数には同一のお客様に関する複数の登録データが含まれる可能性があり、対象となる人数そのものを示すものではありません。本件は、単一のEC店舗への侵害ではなく、ECプラットフォーム側のサーバーに対する不正アクセスとして公表されている点で、利用者だけでなく、ショップサーブを利用する店舗側にも影響が及び得る事案です。

Eストアー「ショップサーブ」不正アクセスのサマリー

Eストアーは2026年8月1日、ショップサーブのサーバーに対する外部からの不正アクセスにより、購入者情報が漏えいしたと公表しました。
8月2日の第2報では、発生期間が2026年5月21日から8月1日までとされ、購入者関連情報、会員ID・パスワード、クレジットカード情報の一部、店舗関連情報が漏えい対象として追加されています。
公表件数は8,853,839件ですが、同一人物の複数データを含む可能性があり、対象人数そのものではありません。
クレジットカード情報では、カード名義、カード番号の一部、先頭6桁および下4桁、有効期限が対象とされ、セキュリティコードはEストアー側で保持しておらず漏えい対象に含まれないと説明されています。
利用者はパスワード変更、不審メールやSMSへの警戒、店舗側は管理画面・メールシステム・FTPのパスワード変更、二段階認証の設定、ログ確認を急ぐ必要があります。

整理表

項目	内容
公表日	2026年8月1日、2026年8月2日第2報
被害企業	株式会社Eストアー
対象サービス	ショップサーブ
事案の概要	ショップサーブのサーバー上で外部の第三者が不正なプログラムを実行し、購入者情報などを外部へ送信
確認されている発生期間	2026年5月21日から2026年8月1日
漏えい件数	8,853,839件。ただし同一のお客様に関する複数データを含む可能性があり、対象人数を示すものではない
漏えい情報の内容	購入者情報、配送先情報、会員情報、会員ID、パスワード、クレジットカード情報の一部、店舗管理画面・店舗メールシステム・FTPのID・パスワード、振込先口座情報など
クレジットカード情報	カード名義、カード番号の一部、先頭6桁および下4桁、有効期限。セキュリティコードは保持しておらず漏えい対象外
二次被害	2026年8月2日時点で、本件に起因する具体的な二次被害の報告は確認されていない
個人情報保護委員会への報告状況	8月1日の公表で個人情報保護委員会へ報告すると説明。報告完了の有無までは第2報の本文では確認できない
警察への対応	8月1日の公表で所轄警察署への届け出を検討していると説明
対応状況	攻撃元からの通信遮断、遮断後のアクセス不能確認を完了。詳細な事実関係、対象範囲、原因、再発防止策は調査・検討中
利用者への要請	パスワード変更、不審なメール・SMS・電話への警戒、注文履歴や登録情報の確認、他サービスで同一または類似パスワードを使っている場合の変更
店舗側への要請	ショップサーブ管理画面、メールシステム、FTPのパスワード変更、二段階認証の設定、顧客からの問い合わせや被害申告時のEストアー窓口への連絡

何が起きたか

Eストアーの発表によれば、同社が提供する「ショップサーブ」のサーバー上で、外部の第三者が不正なプログラムを実行し、購入者情報を外部へ送信したことで情報漏えいが発生しました。8月1日の第一報では、発生時間は2026年8月1日9時09分から11時06分頃と説明されていましたが、翌8月2日の第2報では、調査の進展により、現時点で確認できている発生日が2026年5月21日からと修正されています。

第2報で重要なのは、漏えい対象が購入者の氏名・住所・電話番号・メールアドレスなどにとどまらず、会員情報、会員ID・パスワード、クレジットカード情報の一部、さらに店舗側の管理情報にまで広がった点です。特に店舗管理画面、店舗メールシステム、FTPのID・パスワードが漏えい対象に含まれると公表されたことで、利用者向けの注意喚起だけではなく、ショップサーブを利用する店舗側の緊急対応が必要になっています。

Eストアーは、会員ID・パスワードについて暗号化された状態で管理しており、現時点では悪用される可能性は低いと判断していると説明しています。ただし、利用者に対しては速やかなパスワード変更を求めており、他サービスで同一または類似するログイン情報を使っている場合にもパスワード変更と多要素認証の利用を呼びかけています。

漏えいした情報と利用者への影響

購入者関連情報には、購入者情報や配送先情報として、氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報が含まれます。これらは単独では直ちに金銭被害へつながるとは限りませんが、氏名、住所、購入履歴に近い情報、メールアドレス、電話番号が組み合わさることで、実在の店舗やカード会社を装ったメール、SMS、電話、郵便物による詐欺の精度が高まります。

第2報では、会員IDとパスワードも漏えい対象に含まれると公表されています。暗号化されているとしても、利用者側から見れば、同じパスワードを他のECサイト、メール、SNS、決済関連サービスで使い回している場合のリスクは残ります。Eストアーが求めているように、対象サービスのパスワード変更に加え、同じまたは似たパスワードを使っている他サービスの見直しが必要です。

クレジットカード情報については、カード名義、カード番号の一部、先頭6桁と下4桁、有効期限が漏えい対象とされています。セキュリティコードは漏えい対象外とされ、Eストアーも漏えいした情報のみで直ちに財産的被害が生じるものではないと説明しています。ただし、カード番号の一部や有効期限を知っている相手が、カード会社や店舗を装って本人確認や再決済を求める連絡を行う可能性はあります。利用者は、メールやSMS内のリンクからカード情報やパスワードを入力しないこと、身に覚えのない請求があればカード会社へ連絡することが重要です。

店舗側に生じるリスク

今回の第2報では、店舗関連情報が漏えい対象に含まれることが明らかになりました。ショップサーブ管理画面、店舗メールシステム、FTPのID・パスワードは、ECサイトの運用に直結する認証情報です。これらが第三者に悪用された場合、店舗サイトの設定変更、不正なファイル設置、メールシステムを利用したなりすまし連絡、顧客情報を踏まえた精巧なフィッシングなどに発展する可能性があります。

店舗側では、Eストアーが案内しているパスワード変更だけでなく、管理画面の二段階認証設定、FTP利用の必要性確認、不要なアカウントの停止、ログイン履歴やファイル更新履歴の確認を進めるべきです。特に、ECサイトでは決済画面や注文確認メール、会員向けメールの信頼性が売上と直結します。攻撃者が店舗の正規メールシステムや正規ドメインに近い導線を使った場合、通常の迷惑メールよりも利用者がだまされやすくなります。

セキュリティ対策Labでは、過去にもECサイトで発生した情報漏洩の事例とセキュリティ対策や、2025年に発生したECサイト・通販サイトへのサイバー攻撃の事例と対策で、EC事業者における認証情報管理、改ざん検知、決済情報の保護、外部連携の確認の重要性を取り上げてきました。今回の事案は、個別店舗だけではなく、EC基盤を提供する事業者の侵害が、利用店舗と購入者の双方へ波及し得ることを示しています。

原因は調査中

Eストアーは原因について、ショップサーブのサーバーに対する外部からの不正アクセスが原因であると説明しています。一方で、詳細な原因、対象範囲、再発防止策については本稿執筆時点で調査中または検討中です。攻撃元からの通信遮断と、遮断後にアクセスできないことの確認は完了したとされています。

現時点で再発防止策は検討中とされており、今まで以上に厳重なセキュリティ体制の構築および強化を図ると説明されています。今後の続報では、侵入経路、不正プログラムの設置・実行経路、認証情報の管理状態、ログ保全状況、検知までに時間を要した理由、店舗側の認証情報の強制リセットや二段階認証の扱いなどが注目点になります。

二次被害として警戒すべきこと

Eストアーは2026年8月2日時点で、本件に起因する具体的な二次被害の報告は確認されていないとしています。ただし、漏えい対象には氏名、住所、電話番号、メールアドレス、会員ID、パスワード、カード情報の一部が含まれるため、今後のフィッシング、なりすまし、アカウント不正ログインの試行には注意が必要です。

特にEC関連の漏えいでは、攻撃者が「再決済が必要」「返金手続きが必要」「本人確認を行う」「カード情報を更新してほしい」といった文面で、利用者を偽サイトへ誘導する手口が想定されます。Eストアーも、同社や利用ショップを装うメール、SMS、電話、郵便物に注意するよう呼びかけており、通知そのものが再決済やクレジットカード情報の入力を求めることはないと説明しています。

利用者側では、公式サイトや正規の連絡先から事実確認を行い、不審なリンクや添付ファイルを開かないことが基本です。パスワードを使い回している場合は、ショップサーブ関連だけでなく、メールアカウント、他のECサイト、決済サービス、SNSなどのパスワードも変更し、多要素認証を設定できるサービスでは有効化する必要があります。

情報システム部門への示唆

今回の事案は、EC基盤やSaaSを利用する企業にとって、委託先・外部サービスの侵害を前提にした対応計画が必要であることを示しています。自社システムに侵害がなくても、外部サービス上に保存された顧客情報、認証情報、振込先情報が漏えいすれば、顧客対応、パスワード変更、問い合わせ対応、フィッシング注意喚起、ログ調査を短時間で進めなければなりません。

情報システム部門やEC運用担当者は、利用しているEC基盤、決済代行、メール配信、CRM、在庫管理、外部連携アプリごとに、どの情報を預けているかを棚卸しする必要があります。委託先の障害・不正アクセス時に、自社側で実施できるパスワードリセット、APIキーのローテーション、FTP停止、管理者アカウントの見直し、顧客向け告知テンプレートの準備まで決めておくと、初動の遅れを減らせます。

店舗側の実務では、ショップサーブ管理画面、店舗メールシステム、FTPのパスワード変更を優先し、可能であれば二段階認証を有効化します。あわせて、最近の管理画面ログイン履歴、FTP接続履歴、ファイル更新履歴、メール送信履歴、注文情報の変更履歴を確認し、不審な変更がないかを点検する必要があります。FTPは運用上不要であれば無効化し、必要な場合でも接続元制限やアカウント分離を検討すべきです。

顧客対応の面では、Eストアーや店舗を装ったフィッシングが発生する可能性を前提に、公式な案内経路を明確にすることが重要です。メールで案内する場合も、本文中のリンクからカード情報やパスワード入力を求めない方針を明記し、問い合わせ窓口を統一します。EC事業者は、セキュリティ対策を技術部門だけの課題にせず、カスタマーサポート、広報、法務、経営層を含めたインシデント対応手順として整備しておく必要があります。