老舗ECプラットフォームのEストアー「ショップサーブ」に不正アクセス、885万件の個人情報が漏えい。店舗関連情報も流出

Eストアーは8月1日、ECプラットフォーム「ショップサーブ」のサーバーが外部から不正アクセスを受け、購入者情報などが漏えいしたと公表した。2日に公表した第2報では、漏えい件数は最大で延べ885万3839件に上ると発表。購入者情報に加え、会員ID・パスワード、クレジットカード情報の一部、店舗向けログイン情報や振込先口座情報も漏えい対象に含まれることを明らかにした。

購入者情報や会員情報が漏えい対象に

不正なプログラムの実行が確認されたのは8月1日午前9時9分から11時6分ごろ。第1報では、氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報などの購入者情報が漏えい対象として案内されていた。

第2報では、漏えい対象期間を2026年5月21日から8月1日までと更新するとともに、購入者情報に加え、会員情報や会員ID・パスワードも漏えい対象に含まれることを明らかにした。

Eストアーは、会員ID・パスワードは暗号化した状態で管理しており、現時点で悪用される可能性は低いとしている。一方、第三者による不正ログインの恐れがあるとして、会員に対しパスワード変更や登録情報、注文履歴の確認を呼びかけている。

クレジットカード情報はカード名義、カード番号の一部（先頭6桁および下4桁）、有効期限が漏えい対象。セキュリティコード（CVV／CVC）は保持しておらず、漏えい対象には含まれていないという。

Eストアーは、漏えいした情報だけで直ちに財産的被害が生じるものではないとしつつ、同社や出店店舗、カード会社を装った不審なメールや電話、SMSなどに注意するよう呼びかけている。

店舗向けログイン情報や振込先口座情報も漏えい

店舗向けでは、ショップサーブ管理画面や店舗メールシステム、FTPのログインID・パスワードに加え、Eストアーからの振込先口座情報（銀行名、支店名、口座名義、口座番号、銀行コード、支店コード）も漏えい対象に含まれる。

Eストアーは店舗に対し、管理画面やメールシステム、FTPのパスワード変更を要請するとともに、管理画面の二段階認証を設定するよう推奨している。

8月2日時点で、今回の事案に起因する具体的な二次被害は確認されていないという。同社は攻撃元からの通信遮断と、その後のアクセス不能を確認済みと説明。個人情報保護委員会への報告や所轄警察署への届け出を進めるとしており、原因や影響範囲については引き続き調査し、新たな事実が判明した場合は速やかに公表するとしている。

Eストアーは2025年7月にBASEグループ入り

「ショップサーブ」は、Eストアーが長年展開してきた老舗ECプラットフォーム。Eストアーは1999年創業で、中小企業を中心にECサイト構築・運用支援を手がけてきた。過去には導入企業約8000社、流通総額約1000億円規模のサービスとして展開していた。

Eストアーは2025年7月にBASEの100％子会社となった。BASEは2024年12月に買収を発表しており、子会社化によってグループ全体の年間GMV（流通総額）は約5000億円規模になるとしていた。

2026年1-3月期（第1四半期）は、BASE事業の成長に加え、「ショップサーブ」事業の連結効果により、BASEの売上高は前年同期比36.6％増の62億4300万円、営業利益は同70.5％増の6億6400万円となった。「ショップサーブ」事業の売上高は11億100万円、売上総利益は6億8300万円だった。