ECサイトの不正アクセスで何が漏れたか

3行まとめ

• EC構築サービス「ショップサーブショップサーブEストアーが提供するECサイト構築サービス。店舗はこの上に自社の通販サイトを持つ。」のサーバーが不正アクセスを受けた
• 翌日の第2報第2報調査の進展にあわせて出す続報。今回は第1報を拡大・訂正したもの。で対象期間と漏えい項目が広がった
• 購入者情報だけでなく利用店舗側の情報も対象に入った

何が起きたか

株式会社Eストアーが2026年8月1日、不正アクセスによる個人情報の漏えいを公表しました。対象は同社のECサイト構築サービス「ショップサーブ」のサーバーです。外部の第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信していました。

公表された件数は8,853,839件。ただしこれは延べ件数延べ件数同じ購入者の複数の登録データを含む数え方。対象者の実人数とは別の数字。で、同じ購入者の複数の登録データを含む可能性があります。対象となる購入者の実人数は公表されていません。

不正なプログラムが動いていた期間は2026年5月21日から8月1日まで。Eストアーは攻撃元からの通信の遮断と、遮断後にアクセスできないことの確認を終えたとしています。原因と侵入経路は調査中で、公表されていません。

なぜ難しい・何がすごいか

引っかかるのは、第1報と第2報の差です。第1報は発生期間を8月1日の9時9分から11時6分頃としていました。第2報では、これが5月21日から8月1日までに広がりました。

項目も増えました。第1報は、購入者情報にパスワードは含まれないとしていました。第2報では会員IDとパスワードの漏えいが新たに公表されています。

会員情報とクレジットカード情報、店舗関連情報も第2報で加わりました。第2報は、会員IDとパスワードが暗号化された状態で管理されているとしています。そのうえで不正ログインのおそれがあるとして、速やかなパスワードの変更を求めました。

最初の発表は、調査の途中経過です。調査が進むほど、見える範囲は変わります。確定した被害の全体像とは限りません。

たとえ話

貸しビルの管理会社が破られた状況に近いです。入居する店舗は、自分の鍵を誰かに配ったわけではありません。それでも管理会社の設備が破られれば、各店舗の客の情報まで影響を受けます。

ショップサーブの導入実績は11万社を突破と案内されています。自社サイトで影響を公表した店舗として確認できたのは52組織です。公表がないことは、影響の有無どちらも意味しません。

用語ミニ辞典

• ショップサーブ: Eストアーが提供するECサイト構築サービス。店舗はこの上に自社の通販サイトを持つ。
• 延べ件数: 同じ購入者の複数の登録データを含む数え方。対象者の実人数とは別の数字。
• 第2報: 調査の進展にあわせて出す続報。今回は第1報を拡大・訂正したもの。
• 多要素認証: パスワード以外の要素も使って本人確認する仕組み。Eストアーが利用を挙げている。

技術者向けの深掘り

漏えい項目には、店舗側の運用情報が含まれます。ショップサーブ管理画面のログインID・パスワード、店舗メールシステムやFTPのID・パスワードが対象です。Eストアーからの振込先口座情報も挙げられています。

クレジットカード情報は、名義とカード番号の先頭6桁・下4桁、有効期限です。セキュリティコードは対象に含まれません。

対象と対象外を分ける基準は公表されていません。影響なしを公表した店舗の説明も、サーバー群の違いや特定のデータベースの範囲など、組織ごとに異なります。管理画面のIDとパスワードについては、Eストアーが対応方針を検討中としています。

親会社のBASEは決算短信の追加情報で本件に触れました。業績への影響は軽微の見込みで、現在精査中としています。

これは自分に関係ある？

• ショップサーブの店舗で買い物をした人: 対象となる購入者へのメール通知は、8月7日16時から順次始まったと利用店舗が伝えています。Eストアーは会員パスワードの変更や、身に覚えのない注文の有無の確認を挙げています。
• 外部サービスでECを運営している事業者: 自社のシステムが無事でも、顧客情報は預け先にあります。今回は店舗の管理画面やFTPの情報も対象に入りました。
• 開示を追いたい人: 個人情報保護委員会への報告は実施されたと利用店舗が公表しています。8月12日の時点で、第3報にあたる公表は確認できていません。