ショップサーブ不正アクセスの最終報、漏えい対象は約2,335万人　対象店舗は7,858店

　Eストアーは2026年10月16日、同社が運営するECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスについて、外部の専門機関によるフォレンジック調査を終え、最終報を公表した。

　漏えい対象者は約2,335万6,000人で、対象店舗は7,858店。現在利用中の店舗と、過去に利用していた店舗の両方を含む。対象者数は、購入者・会員、店舗運営者、アフィリエイターを集計したもので、複数項目の一致を基準に名寄せして可能な限り重複を除いた概数という。

　同社によると、2026年5月21日から8月1日にかけて、外部の第三者がサーバ上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信していた。同社が認知した8月1日に攻撃元からの通信を遮断した。調査では、この経路以外の侵害や、バックドアなどの設置は認められなかったという。

　購入者・会員の漏えい情報は、氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、利用者が任意に入力した情報、会員ID、暗号化されたパスワード。このうちクレジットカード情報の一部（カード名義、カード番号の先頭6桁と下4桁、有効期限）を含む人は、約209万6,900人とした。完全なカード番号とセキュリティコードは保持しておらず、漏えい対象ではないと説明している。

　店舗やアフィリエイターについては、管理画面のログインIDとパスワード、コンビニ払込票に記載された店舗情報、アフィリエイト登録のメールアドレスとパスワードが対象となった。第2報で対象としていた店舗メールシステムやFTPのIDとパスワード、振込先口座情報は、調査の結果、対象から外した。

　同社は、現時点で具体的な二次被害の報告は確認されておらず、ダークウェブ上への流出も確認されていないとしている。対象者への個別連絡は完了し、個人情報保護委員会と関東総合通信局へ報告書を提出した。警察にも相談している。

　再発防止策として、悪用された脆弱性の修正、残存脅威の調査、脆弱性診断の実施、管理画面などの認証強化（二要素認証・二段階認証を含む）を実施した。同社は、Eストアーや金融機関を装った不審なメールやSMSへの注意を呼びかけている。