- 組織
- 株式会社Eストアー
- 公表日
- 2026年8月1日
- 件数
- 約2,335万6,000人（うちカード情報の一部を含む方 約209万6,900人）
- 情報の種類
- 氏名・住所・電話番号・FAX番号・メールアドレス・勤務先、会員IDと暗号化されたパスワード、カード名義・カード番号の先頭6桁と下4桁・有効期限、店舗管理画面のログインID・パスワード、アフィリエイト登録者のメールアドレス・パスワード
- 原因
- サーバー上で稼働するアプリケーションの脆弱性を悪用した不正プログラムの実行
- 状況
- 対応済み
- 出典
- https://estore.jp/press/20261016/
株式会社Eストアーは2026年10月16日、EC構築・運営支援サービス「ショップサーブ」への不正アクセスについて最終報を公表しました。漏えい対象者は約2,335万6,000人（概数）で、うち約209万6,900人はクレジットカード情報の一部を含みます。完全なカード番号とセキュリティコードは漏えい対象に含まれていません。
何が起きたか
ショップサーブは、事業者が自社のネットショップを構築・運営するためのサービスです。外部の第三者がサーバー上のアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信していました。同社は8月1日に本件を認知し、攻撃元からの通信を遮断しています。外部専門機関の調査では、ほかの侵入経路やバックドア等の不正プログラムは確認されなかったとしています。
件数は複数項目の一致で名寄せした概数で、一致基準を満たさない重複は除外できていないと説明されています。
漏えいした情報
立場によって対象となる情報が異なります。第2報で対象としていた店舗メールシステムやFTPのID・パスワード、同社の振込先口座情報は、調査の結果、漏えい対象に含まれないと確認されました。
| 対象 | 情報の内容 |
|---|---|
| 購入者（配送先を含む） | 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力の情報 |
| 会員（メールマガジン会員を含む） | 会員ID、暗号化されたパスワード（特定される可能性は低いとしている） |
| カード情報の一部 | カード名義、カード番号の先頭6桁と下4桁、有効期限 |
| 店舗 | 管理画面のログインID・パスワード、コンビニ払込票に記載の店舗情報 |
| アフィリエイト登録者 | メールアドレス、パスワード |
原因と経緯
原因は、サーバー上で稼働するアプリケーションの脆弱性の悪用です。第1報（8月1日）、第2報（8月2日）を経て、10月16日の最終報で調査結果がまとめられました。
発生から最終報まで
- 2026年5月21日脆弱性を悪用した不正プログラムの実行が始まる
- 2026年8月1日同社が認知し攻撃元を遮断。第1報
- 2026年8月2日第2報
- 緊急対応脆弱性の修正、影響範囲の点検、認証情報のリセット
- 2026年10月16日最終報。個別連絡完了、個人情報保護委員会と関東総合通信局へ報告
再発防止策として、脆弱性診断と是正、管理画面の認証強化（二要素認証・二段階認証を含む）が挙げられています。
利用者がやること
同社は、会社や金融機関を装った不審なメール、SMS、電話への注意を呼びかけています。カード情報の再入力や再決済を求めること、メールやSMSでパスワードを尋ねることはないとしています。
不審な連絡に注意する
Eストアーや金融機関を名乗るメール・SMS・電話で、カード情報やパスワードを求められても応じないでください。
カードの利用明細を確認する
ショップサーブの店舗で買い物をしたことがあれば、身に覚えのない請求がないか確認し、不審な利用はカード会社に連絡します。
使い回しているパスワードを変える
同じパスワードを他のサービスでも使っている場合は、そちらも変更しておくと安心です。
