要点
発表された事実
- 株式会社Eストアーは2026年10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスについて、フォレンジック調査を含む一連の調査が完了したとして最終報を公表した（最終報）。
- 2026年5月21日から8月1日まで、外部の第三者が、同社サーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースに格納された情報を外部へ送信していた。8月1日の認知時に攻撃元からの通信を遮断し、それ以降は攻撃が成立していない（同）。
- 確定した経路以外の侵害や、バックドアなどの不正なプログラムの設置は認められなかった（同）。
- 漏えい対象者は約2335万6000人（購入者・会員、店舗運営者、アフィリエイターの合計。名寄せ後の概数）。うち約209万6900人はカード名義、カード番号の一部（先頭6桁と下4桁）、有効期限を含む。対象店舗は現行・過去の利用店を含む7858店（同）。
- 漏えい対象には、購入者の氏名・住所・電話・メールアドレス・勤務先など、会員IDと暗号化されたパスワード、店舗の「ショップサーブ管理画面のログインID・パスワード」、コンビニ払込票に記載の店舗情報、アフィリエイト登録者のメールアドレスとパスワードが含まれる（同）。
- 第2報で対象としていた「店舗メールシステムのID・パスワード、FTPのID・パスワード、振込先口座情報」は、調査の結果、漏えい対象に含まれていないとして除外された（同）。
- 二次被害の報告はなく、外部専門機関の調査でダークウェブ上への流出も確認されていない（同）。
- 親会社のBASEは、自社と関係会社のサービスは本件の対象とは完全に異なる環境で運用されており、情報漏えいは発生していないとしている（BASEのお知らせ）。
わかっていないこと
- 悪用された「アプリケーションの脆弱性」が何か（自社開発部分か、利用しているソフトウェアか、既知の脆弱性か）
- 5月21日から8月1日まで約2か月半、外部送信に気づけなかった理由と、8月1日に認知したきっかけ
- 管理画面のログインパスワードやアフィリエイトのパスワードが、どのような形式で保存されていたか
- 対象となった7858店の店名（公表されておらず、問い合わせ窓口で個別に確認する形）
関係しそうな既知の手口
- （考察）多数の事業者が共同で使う基盤が1か所破られ、利用企業の顧客情報がまとめて出る構図は、TEMAIRAZU（宿泊予約の連携システム）やコミューン（コミュニティ基盤）など、10月に相次いだ国内事例と同じ形をしている。
概要
- ショップサーブのアプリの脆弱性が突かれ、5月21日から8月1日まで、データベースの情報が外部へ送られていた。
- 最終報で対象は約2335万6000人・7858店に確定し、約209万6900人はカード番号の一部と有効期限を含む。
- 侵入経路は「アプリの脆弱性」とまでしか書かれておらず、脆弱性の中身と長期間気づけなかった理由は公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-05-21 | この日から外部の第三者による不正なプログラムの実行と外部送信が始まっていた（第2報・最終報） |
| 2026-08-01 9:09〜11:06頃 | 第1報が示した不正なプログラムの実行・購入者情報の外部送信の時間帯（第1報） |
| 2026-08-01 | 同社が認知し、攻撃元からの通信を遮断。第1報を公表（最大延べ8,853,839件、カード情報が含まれるかは調査中）。個人情報保護委員会への報告、警察への届け出検討を表明（第1報・最終報） |
| 2026-08-02 | 第2報。発生期間を5月21日からに拡大し、会員ID・パスワード、カード名義・番号の一部・有効期限、店舗の管理画面・メール・FTPのID/パスワード、振込先口座情報を追加。件数は8,853,839件のまま（第2報） |
| 2026-10-16 | 最終報。攻撃手法（アプリの脆弱性悪用）と期間、対象（約2335万6000人・7858店）を確定。店舗メール・FTP・振込先口座を対象から除外（最終報）。BASEも同日にお知らせを公表 |
発表内容の整理
事実（Eストアーの最終報）
| 項目 | 内容 |
|---|---|
| 対象サービス | ECサイト構築・運営支援サービス「ショップサーブ」 |
| 期間 | 2026年5月21日〜8月1日 |
| 攻撃手法 | サーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信 |
| 他の経路・残存物 | 確定した経路以外の侵害、バックドア等の設置は認められず |
| 対象者数 | 約23,356,000人（購入者・会員、店舗運営者、アフィリエイターの合計。複数項目の一致で名寄せした概数） |
| うちカード情報の一部 | 約2,096,900人（カード名義、番号の先頭6桁と下4桁、有効期限）。完全な番号とセキュリティコードは非保持 |
| 対象店舗 | 7,858店（現在の利用店と過去の利用店） |
| 購入者・会員の情報 | 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報、会員ID、暗号化されたパスワード |
| 店舗・アフィリエイターの情報 | ショップサーブ管理画面のログインID・パスワード、コンビニ払込票に記載の店舗情報（販売責任者の氏名、店舗名、住所、電話番号など）、アフィリエイト登録者のメールアドレス・パスワード |
| 第2報から除外 | 店舗メールシステムのID・パスワード、FTPのID・パスワード、振込先口座情報 |
| 二次被害 | 報告なし。ダークウェブ上への流出も確認されず |
| 対応 | 通信遮断、脆弱性修正、影響範囲の点検、認証情報のリセット。対象者への個別連絡は完了 |
| 報告 | 個人情報保護委員会と関東総合通信局に報告書を提出。所轄警察署に相談 |
| 再発防止策 | 脆弱性修正と経路遮断、残存脅威の調査、アプリとサーバーの脆弱性診断と是正、管理画面等の認証強化（二要素認証・二段階認証を含む） |
会員パスワードについて同社は、暗号化された状態で管理しており特定される可能性は低く、漏えい情報にはログイン先の店舗を紐付ける情報も含まれないため、悪用や会員マイページへの不正アクセスの可能性は低いと判断している（最終報）。
考察
件数の動きが大きい。第1報・第2報は「最大延べ8,853,839件」で、同じ人の重複を含む可能性があるとしていた。最終報は名寄せで重複を除いた「人数」なのに約2335万6000人で、数字は2.6倍ほどになった。最終報の数には店舗運営者とアフィリエイターも含まれるが、それだけでこの差を説明できるかは発表からはわからない。調査の途中で、送られたデータの範囲が当初の見立てより広かったと読むのが自然だと思う（考察）。
逆に、店舗のメール・FTPのパスワードと振込先口座は対象から外れた。店舗にとっては第2報で示された中で特に重い項目だったので、ここが外れたのは大きい。一方で、管理画面のログインID・パスワードは最後まで対象に残っている。保存形式は書かれていないが、同社は認証情報のリセットを済ませたとしており、再発防止策にも管理画面の二要素・二段階認証を挙げている（事実）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- 多くの事業者が共同で使うSaaSや基盤が破られ、利用企業の顧客の情報がまとめて漏れる事例は、10月の国内でも続いている。TEMAIRAZU（宿泊予約の連携システム、記事）、コミューン（コミュニティ基盤、記事）、SpeeCAN RAIDEN（自治体の防災メール配信基盤、記事）などがある。
- JPCERT/CCは10月の注意喚起で、相次ぐ国内の不正アクセスについて攻撃の類型を示し、公開しているWebアプリやAPIの脆弱性の点検を求めた（記事）。ただし本件は5月に始まっており、10月の一連の事案と同じ攻撃者かどうかは発表からはわからない。
考察
- 「不正なプログラムを実行してDBの中身を送る」が約2か月半続いた：最終報はバックドアの設置はなかったとしているので、攻撃者は脆弱性を何度も突いて、その都度プログラムを動かしていた可能性がある。そうだとすると、アプリのプロセスから外部への想定外の通信や、データベースへの大量の読み出しを監視できていれば、もっと早く気づけたはずだ。
- 基盤事業者の事故は「店舗ごとの公表」に分散しない：7858店の名前は公表されず、利用者は窓口に問い合わせて確認する形になっている。購入者からすると、自分が買った店がショップサーブを使っていたかを自分で知る手段が乏しい。
利用者・運用者がいまできること
事実（発表に基づく）
- 同社や金融機関を装ったメール・SMS・電話に注意する。同社が本件でカード情報の再入力や再決済を求めることはなく、メールやSMSでパスワードを尋ねることもない（最終報）。
- 第2報では、会員パスワードの変更、同じか似たパスワードを使う他サービスのパスワード変更、店舗には管理画面・メール・FTPのパスワード変更と二段階認証の利用を案内していた（第2報）。
- 利用した店舗の確認を含め、問い合わせは同社の窓口で受け付けている（最終報）。
考察（利用者向け）
- 中小のネットショップで買い物をしたことがあり、同社から連絡が来ている、または心当たりがある場合は、カードの利用明細を確認する。カード番号の先頭6桁・下4桁と有効期限は、カード会社を装う詐欺で「本人確認」に使われやすい。
- 同じパスワードを他で使っていたら、念のため変える。
考察（運用者向け）
- ショップサーブを使う、または使っていた店舗は、管理画面の二段階認証を有効にし、管理画面のパスワードを他のサービスで使い回していないか確認する。
- 自社でECやSaaSを運営する側は、アプリのプロセスから外への通信を許可先だけに絞り、データベースからの大量の読み出しを検知できるようにしておく。