01
2か月半、気づかれなかった
事件の概要
- 被害
- 株式会社Eストアーのネットショップ作成サービス「ショップサーブ」
- 発覚・公表
- 2026年8月1日に検知・遮断し公表、10月16日に最終報
- 規模
- 約23,356,000人（うちカード情報の一部を含む約2,096,900人）、対象店舗7,858店
- 原因
- サーバー上のアプリケーションの脆弱性を悪用され、不正なプログラムでデータベースの情報を外部へ送信された。製品名などは未公表
- 対応
- 脆弱性の修正、認証情報のリセット、2段階認証の導入、警察への届出
- 2026/05/21
侵害が始まる
ここから8月1日まで、約2か月半にわたって侵害が続きました。
- 2026/08/01
検知して遮断、第1報
この時点の発表は最大8,853,839件。
- 2026/10/16
最終報で規模が確定
漏えいの対象は約23,356,000人、対象店舗は7,858店。当初の発表の2倍以上にふくらみました。
23356000人
2096900人
1つの土台に、7,858の店が載っていた
ショップサーブのようなサービスでは、たくさんの店が同じ土台を共有しています。土台が破られると、それぞれの店のお客様の情報が、店の知らないところでまとめて持ち出されます。漏れたのはお客様の情報だけではありません。報道によれば、店舗の管理画面のログイン情報なども含まれていました。
EC基盤（破られた場所）
店は自分のサーバーを持っていなくても、お客様の情報は土台の中にあります。（イメージ図。実際は7,858店）
02
出店している側が、備えておくこと
土台が破られたときの4つ
- 1管理画面のパスワードを変え、2段階認証を事業者から案内が来たら、すぐに。使えるなら2段階認証もオンにします。
- 2同じパスワードを、ほかで使わない管理画面と、メールやサーバーの接続用で同じパスワードを使っていれば、すべて変えます。
- 3お客様への案内文と窓口を用意しておくカード明細の確認と、偽メールへの注意を伝える文面を、ふだんから準備しておくと慌てません。
- 4預けている情報を見直す使わなくなった会員情報や古い注文データを残したままにしない。持っていなければ漏れません。
土台のサービスを自分で直すことはできません。でも、自分の店のドメインやメールの守りが外からどう見えているかは確かめられます。
土台は選べなくても、自分の店の入口は点検できる
ドメインを入力するだけで、外から見えている弱点を無料で点検します。
出典
- Eストアー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年8月1日）
- Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）
- ビジネス+IT「ショップサーブ不正アクセスの最終報、漏えい対象は約2,335万人 対象店舗は7,858店」（2026年10月17日）
- @IT「885万件超の情報漏えいが発覚 BASE子会社のEストアーが不正アクセス被害」（2026年8月5日）
※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。