老舗ECプラットフォームのEストアー「ショップサーブ」への不正アクセス、利用店舗7858店で2335万人分の個人情報が漏えい。209万人分はクレカ情報も

BASE子会社のEストアーは10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスに関する最終報を公表した。漏えい対象者数は約2335万6000人で、対象店舗は7858店。このうち、クレジットカード情報の一部が漏えいしたのは約209万6900人という。

今回の事案は、Eストアーが運営する「ショップサーブ」のサーバー環境への不正アクセスによるもの。なお、BASEは同日、同社および関係会社のサービスは対象サーバーやシステム環境とは異なる環境で運用・管理しており、「BASE」など他サービスでの情報漏えいは発生していないと公表した。

5月21日から8月1日まで侵害、脆弱性を悪用し情報を外部送信

発表によると、2026年5月21日から8月1日までの間、第三者がEストアーのサーバー上で稼働するアプリケーションの脆弱（ぜいじゃく）性を悪用し、不正なプログラムを実行。データベースに格納された情報を外部へ送信していたことを確認した。

Eストアーは8月1日に本件を認知し、同日中に攻撃元からの通信を遮断。それ以降は攻撃が成立していないという。悪用された脆弱性の修正や影響範囲の点検、認証情報のリセットなども実施した。

フォレンジック調査では、確定した侵入経路以外からの侵害や、バックドアなどの不正プログラムの設置は確認されなかったとしている。

購入者・会員情報に加え、店舗管理画面のログイン情報も対象

漏えい対象となった情報は、購入者・会員関連と、店舗・アフィリエイター関連に大別される。

購入者・会員関連

• 購入者情報：氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報など
• 会員情報：会員ID、暗号化されたパスワード
• クレジットカード情報の一部：カード名義、カード番号の一部（先頭6桁と下4桁）、有効期限

Eストアーは、完全なカード番号やセキュリティコードは保持しておらず、今回漏えいした情報だけではカード決済はできないとしている。

店舗・アフィリエイター関連

• ショップサーブ管理画面のログインID・パスワード
• コンビニ払込票に記載された販売責任者の氏名、店舗名、住所、電話番号などの店舗情報
• アフィリエイトプログラム登録者のメールアドレス・パスワード

最終報で対象範囲を更新、一部情報は漏えい対象から除外

Eストアーは8月2日の第2報で、漏えい件数を最大延べ885万3839件と公表していた。当時は購入者情報に加え、店舗メールシステムのログインID・パスワード、FTPのID・パスワード、Eストアーからの振込先口座情報も漏えい対象として案内していた。

最終報では、複数項目の一致を基準に名寄せを行い、漏えい対象者数を約2335万6000人と再集計した。一方、8月時点で対象としていた店舗メールシステムのログインID・パスワード、FTPのID・パスワード、振込先口座情報については、調査の結果、漏えい対象に含まれていないことが確認され、対象から除外した。

二次被害は未確認、対象者への個別連絡は完了

Eストアーは10月16日時点で、本件に起因する具体的な二次被害は確認されておらず、外部専門機関の調査でもダークウェブ上への流出は確認されなかったとしている。漏えい対象となった購入者、店舗、アフィリエイターへの個別連絡は完了しており、連絡先を確認できない場合は、公表と問い合わせ窓口の設置をもって対応している。

個人情報保護委員会と関東総合通信局への報告書の提出、所轄警察署への相談なども済ませたという。

再発防止策として、悪用された脆弱性の修正と攻撃経路の遮断、残存する脅威の調査、アプリケーションとサーバーの脆弱性診断、管理画面などの認証強化を実施した。

顧客には、不審なメールやSMS、電話などへの注意を呼びかけている。Eストアーが本件に関してクレジットカード情報の再入力や再決済を依頼することはなく、メールやSMSなどでパスワードを確認することもないとしている。

EC事業者にも求められる、利用基盤のセキュリティと情報共有

「ショップサーブ」は、長年にわたりECサイトの構築・運営を支援してきたサービスで、Eストアーは2025年にBASEグループ入りした。今回、BASE本体や関係会社の他サービスには影響していないことが明らかにされた一方、グループ内で複数のEC基盤を運用するなか、サービスごとのシステム環境の管理や、インシデント発生時の情報共有の重要性が改めて浮き彫りになった。

EC事業者にとっても、利用するプラットフォームへの不正アクセスが、自社の購入者情報や会員情報、店舗管理情報などに影響する可能性がある点は押さえておきたい。今回のように、調査の進展に伴って漏えい対象の範囲や件数が更新されるケースもある。プラットフォーム事業者と利用企業が、平時からセキュリティ対策や連絡体制を確認し、インシデント発生時に影響範囲や対応状況を適切に共有できるよう備えておくことが重要といえそうだ。