Eストアー「ショップサーブ」不正アクセスの最終報｜対象は約2,335万人・7,858店——EC運営者にとっての意味と今やるべきこと
株式会社Eストアー（以下、Eストアー）は2026年10月16日、ECサイト構築サービス「ショップサーブ」への不正アクセスについて、調査完了にともなう最終報を公表しました。漏えい対象は約2,335万6,000人・対象店舗は7,858店で、8月の第2報で対象とされていたFTPのID・パスワードや振込先口座情報などは、調査の結果「対象外」と確認されています。確定した事実と、店舗側で見直したい点を整理します。
⏱ 忙しい人向け 3行まとめ
- 事実：Eストアーは10月16日に最終報を公表し、漏えい対象を約2,335万6,000人、うちクレジットカード情報の一部を含む人を約209万6,900人、対象店舗を7,858店と確定しました。攻撃期間は2026年5月21日から8月1日までです。
- 意味：管理画面のログインIDとパスワードは対象に残った一方、FTPや振込先口座の情報は対象外になりました。購入者情報の件数は第2報の想定より大きく、不審なメールや電話への備えが引き続き大切になりそうです。
- アクション：利用中や過去に利用していた店舗は、同じパスワードを使い回しているサービスがないかを点検します。お客さまからの問い合わせに備えて、案内文と窓口を店の中でそろえておきます。
発表の事実
Eストアーは2026年10月16日、「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」を公表し、攻撃の手法・期間・漏えい対象の範囲が確定したと説明しています。第1報は8月1日、第2報は8月2日に出ており、EC参謀では第2報の時点で速報として取り上げています。
| 項目 | 最終報（2026年10月16日）の内容 |
|---|---|
| 攻撃の期間 | 2026年5月21日〜8月1日 |
| 原因 | サーバー上で動いていたアプリケーションの脆弱性が悪用され、不正なプログラムでデータベースの情報が外部へ送信された |
| 漏えい対象者数 | 約23,356,000人（購入者・会員、店舗運営者、アフィリエイターの合計。名寄せ後の概数） |
| うちカード情報の一部を含む人 | 約2,096,900人 |
| 対象店舗数 | 7,858店（現在の利用店舗と、過去に利用していた店舗を含む） |
| 二次被害 | 公表時点で、本件による具体的な二次被害の報告は確認されていない。外部の専門機関の調査で、ダークウェブへの流出も確認されていない |
漏えい対象になった情報と、対象外になった情報は次のとおりです。
- 購入者・会員の情報：氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、購入者が任意で入力した情報。会員IDと暗号化されたパスワード（パスワードが特定される可能性は低いと判断、ログイン先の店舗を結び付ける情報も含まれていないと説明）。
- カード情報の一部：カード名義、カード番号の先頭6桁と下4桁、有効期限。完全なカード番号とセキュリティコードは保持しておらず、漏えいした情報だけでは決済できないとしています。
- 店舗・アフィリエイター関連：ショップサーブ管理画面のログインIDとパスワード、コンビニ払込票に記載された店舗情報（販売責任者の氏名、店舗名、住所、電話番号など）、アフィリエイトプログラム登録者のメールアドレスとパスワード。
- 対象外と確認された情報：第2報で対象としていた「店舗メールシステムのログインIDとパスワード」「FTPのIDとパスワード」「Eストアーからの振込先口座情報」。
対象者への個別連絡は完了したとしており、連絡先が確認できない人には公表と問い合わせ窓口で対応するとしています。再発防止策としては、脆弱性の修正と攻撃経路の遮断、残っている脅威の調査、脆弱性診断、管理画面などの認証強化（二要素認証や二段階認証を含む）を挙げています。個人情報保護委員会と関東総合通信局への報告、所轄警察署への相談も済ませたと説明しています。
EC運営者にとっての意味
この最終報が店舗に示しているのは、カートの運営会社側で漏えいが起きた場合でも、店の名前でお客さまに不安が届く、ということだとみられます。件数は第2報の「最大延べ885万3,839件」から、名寄せ後で約2,335万6,000人へと大きく見え方が変わりました。集計の方法が違うため単純に比べることはできませんが、購入者の連絡先がこれだけの規模で対象になったことで、店やカート会社を名乗る不審なメール・SMS・電話が届く可能性は、しばらく意識しておいたほうがよさそうです。
一方で、FTPや振込先口座の情報が対象外と確認されたことは、店舗側の負担を考えると落ち着いて受け止めてよい点だと考えられます。ただし、管理画面のログインIDとパスワードは引き続き対象です。Eストアーは認証情報のリセットを実施済みとしていますが、同じパスワードを別のサービスでも使っていた場合は、そちらの見直しは店舗側の作業になります。
また、Eストアーは利用者向けに「カード情報の再入力や再決済を依頼することはない」「メールやSMSでパスワードを尋ねることはない」と案内しています。店舗がお客さまに説明するときも、この2点をそのまま伝えるのが分かりやすいと思います。ショップサーブを使っていない店舗にとっても、経済産業省とIPAが10月に出した注意喚起と合わせて、自社のカートや連携サービスの権限を見直すきっかけになりそうです。
今やるべきこと
- パスワードの使い回しを点検する……ショップサーブの管理画面と同じIDやパスワードを、メール、決済、広告、物流などのサービスで使っていないかを確認し、該当すれば変更します。
- お客さま向けの案内文をそろえる……問い合わせが来たときに、Eストアーの公表内容と窓口を案内できるよう、店の中で文面を1つ決めておきます。「店からカード情報の再入力をお願いすることはない」も添えると安心につながりやすいです。
- 店を名乗る不審な連絡に備える……店の名前を使った不審なメールやSMSの報告が来たときの対応（お客さまへの返信、サイトでのお知らせ）を決めておきます。
- 管理画面の認証設定を見直す……ショップサーブ以外のカートでも、二段階認証が使えるなら有効にし、退職者や契約が終わった外部委託先のアカウントが残っていないかを確認します。
店舗向けの問い合わせ先として、Eストアーは「Eストアーデスク」を案内しています。回答に時間がかかっているとも説明しているため、急ぎでない確認はメールでまとめて送るのが現実的です。最新の窓口と内容は、必ず公式のお知らせでご確認ください。
出典
- 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）
- 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（第2報）」（2026年8月2日）
- ネットショップ担当者フォーラム「老舗ECプラットフォームのEストアー「ショップサーブ」への不正アクセス、利用店舗7858店で2335万人分の個人情報が漏えい」（2026年10月19日）
※本記事は2026年10月19日時点の公表情報をもとにしています。最新の情報は公式のお知らせでご確認ください。