Eストアー、EC構築サービス「ショップサーブ」への不正アクセスで最大約885万件が漏えい — 利用店舗側のログインID・振込先口座も対象

項目	内容
発生日	2026年5月21日〜8月1日（第2報で公表された不正プログラム実行の対象期間）／第一報では「2026年8月1日 9:09〜11:06頃」とされていた
公表日	2026年8月1日（第一報）／2026年8月2日（第2報・対象範囲を拡大）
対象組織・業界	株式会社Eストアー（ECサイト構築・運営支援サービス「ショップサーブ」の提供元／情報通信・IT）。影響は同サービスを利用する店舗とその購入者に及ぶ
攻撃手法	「ショップサーブ」サーバーへの外部からの不正アクセス。第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信（初期侵入経路は未公表・調査中）
情報源	Eストアー 第一報（2026年8月1日）、Eストアー 第2報（2026年8月2日）、サイバーセキュリティ.com、ネットショップ担当者フォーラム（2026年8月5日）、＠IT（2026年8月5日）、株式会社デザインフィル（2026年8月3日）

概要

ECサイト構築・運営支援サービス「ショップサーブ」を提供する株式会社Eストアーは2026年8月1日、同サービスのサーバーが外部からの不正アクセスを受け、購入者情報が外部へ送信されたと公表しました。

翌8月2日に公表された第2報では、被害の輪郭が第一報から大きく広がりました。第一報が不正プログラムの実行時間帯を「2026年8月1日 9:09〜11:06頃」としていたのに対し、第2報では「2026年5月21日から8月1日において、外部の第三者が当社サーバー上で不正なプログラムを実行し、購入者情報を外部へ送信」と、約2か月半にわたる期間が示されています。件数は最大で延べ8,853,839件。同社は、同一顧客の複数登録データを含む可能性があり、実際の対象人数とは一致しないとしています。

漏えい対象に含まれる情報も、第2報で次のように整理されました。

区分	内容
購入者情報	氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、その他購入者が任意に入力した情報
会員情報	会員情報（メールマガジン会員を含む）、会員ID、パスワード
クレジットカード情報	カード名義、カード番号の一部（先頭6桁および下4桁）、有効期限。セキュリティコードは同社では保持していない
店舗関連情報	ショップサーブ管理画面のログインID・パスワード、店舗メールシステムのID・パスワード、FTPのID・パスワード、同社から店舗への振込先口座情報

本件で注意すべきは、侵害されたのはプラットフォーム提供元であるEストアーのサーバーであり、被害を受けるのは同サービスを利用する店舗とその購入者であるという構図です。店舗側は自社のシステムを侵害されたわけではありませんが、自社サイトで買い物をした顧客の情報が流出した以上、顧客への説明と対応を担うことになります。報道によれば、ショップサーブは過去に約8,000社の導入実績があるとされ、影響を受ける店舗は広範に及びます。同社は2025年7月に株式会社BASEの完全子会社となっています。

会員IDとパスワードについて同社は、暗号化して管理しているとしたうえで、利用者に対して速やかなパスワード変更と、他サービスで同じパスワードを使っている場合の同様の対応を求めています。店舗に対しては二段階認証の設定を推奨しています。

経緯

• 2026年5月21日: 第2報で示された、サーバー上での不正なプログラム実行の対象期間の始点
• 2026年8月1日 9:09〜11:06頃: 第一報が「外部の第三者が当社サーバー上で不正なプログラムを実行」した時間帯として示した範囲
• 2026年8月1日: 第一報を公表。攻撃元からの通信遮断と、遮断後にアクセスできないことの確認を完了。個人情報保護委員会への報告および所轄警察署への届け出を検討中とした。この時点でクレジットカードの名義・カード番号の一部が対象に含まれるかは「調査中」
• 2026年8月2日: 第2報を公表。対象期間を2026年5月21日〜8月1日と示し、件数を最大で延べ8,853,839件と公表。会員ID・パスワード、クレジットカード情報の一部、および店舗関連情報（管理画面・メールシステム・FTPのログイン情報、振込先口座情報）が漏えい対象に含まれることを明らかにした。現時点で具体的な二次被害は確認されていないとしている
• 2026年8月3日以降: 利用店舗による個別の公表が始まる
• 2026年8月5日: 報道各社が詳報

利用店舗側で始まっている公表

プラットフォーム提供元の公表とは別に、ショップサーブを利用する店舗が自社サイトで個別に告知を出しています。確認できた例は以下のとおりです（各告知の表記に従っています）。

公表主体	対象サイト	公表日	内容
株式会社デザインフィル	ミドリオンラインストア、タッチアンドフロー オンラインショップ	2026年8月3日	氏名・住所・電話番号・メールアドレス・勤務先、会員ID・暗号化されたパスワード、クレジットカードの名義・カード番号の先頭6桁と下4桁・有効期限が対象。セキュリティコードは保持しておらず漏えいなしとしている
珈琲香坊	珈琲香坊 オンラインショップ	2026年8月1日掲載・8月3日追記	氏名・住所・電話番号・メールアドレス等が対象（パスワードは含まれないとしている）。カード情報の一部については調査中と案内
丸八製茶場 オンラインショップ	同左	掲載日は告知上明記されていない	自店舗の利用者情報が外部へ漏えいしたとし、詳細はEストアーの公表を案内。詐欺メール・SMS・電話への警戒を呼びかけ
日吉オンライン検査Web	同左	2026年8月4日	ショップサーブへの不正アクセスの事実を告知したうえで、自店舗の顧客情報については漏えいしていないことを確認したとしている

同じ基盤を使っていても、店舗ごとに漏えいの有無・対象項目・カード情報の扱いは異なります。利用者にとっての「自分の情報がどうなったか」は、プラットフォーム提供元の発表だけでは分からず、利用した店舗の告知まで見に行かないと確定しない状態にあります。今後も公表店舗は増える可能性があります。

原因

判明している事実: 外部の第三者がショップサーブのサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信したこと。対象期間は2026年5月21日〜8月1日とされています。初期侵入経路、悪用された脆弱性、攻撃者の身元はいずれも公表されておらず、同社は第三者調査機関とともに調査中としています。

考えられる原因（推測）

以下は公表された事実から考えられる仮説であり、同社が公表したものではありません。

1. 「サーバー上で不正なプログラムを実行」という表現が示すもの: 単にデータベースを読み出されたのではなく、サーバー上で攻撃者のコードが動いた状態が説明されています。これはWebアプリケーション層に実行可能な足場（いわゆるWebシェル等）が設置されるか、正規のプロセスを通じて任意のコードを実行できる状態に至っていたことを示唆します。到達手段としては、公開サーバのミドルウェア・フレームワークの脆弱性、ファイルアップロードやテンプレート機能などアプリケーションが本来備える書き込み経路の悪用、あるいは奪取された高権限の資格情報の悪用などが考えられます。いずれであるかは公表されていません。

2. 対象期間が「2時間」から「約2か月半」へ広がった意味: 第一報の段階で把握できていたのは、データの外部送信が実際に観測された8月1日の時間帯だけだった可能性があります。その後の調査で、足場が置かれた時期まで遡って対象期間が5月21日に伸びました。この種の「期間が遡る訂正」は、攻撃が急に長くなったのではなく、調査によって見えていなかった部分が可視化された結果であることが一般的です。逆に言えば、初動時点では侵害の全体像が見えていなかったということでもあります。

3. 購入者情報と店舗側の認証情報・口座情報が同時に取られている点: この2種類のデータは通常、別々のテーブル・別々の役割の領域に保管されます。両方が漏えい対象に含まれたということは、攻撃者がテナント（店舗）をまたいで参照できる位置、すなわちプラットフォームの共通基盤側に到達していた可能性が考えられます。マルチテナント構成のサービスでは、テナント分離が働くのはアプリケーションの入口までであり、基盤側に到達されるとその分離は意味をなさなくなります。

4. 二次被害は「購入者向け」と「店舗向け」の2方向で想定される: 購入者に対しては、氏名・住所・電話番号・メールアドレスに加えてカード名義・カード番号の先頭6桁と下4桁・有効期限が揃っていることが問題になります。これらは「本人しか知らないはず」の情報として本人確認や信用の担保に使われることがあり、カード会社や店舗を装った連絡の説得力を大きく高めます。店舗に対しては、管理画面・メールシステム・FTPのログイン情報が漏えいしていることから、店舗サイト自体の改ざんや決済画面へのスキミングコード設置に繋がる恐れがあり、加えて振込先口座情報が漏えいしていることから、運営元や取引先を装った「振込先変更のお知らせ」型の詐欺に悪用される余地があります。

対策

組織が学ぶべきこと

1. SaaS・ASPを使っていても、顧客への説明責任は自社に残る: 店舗側は自社のサーバーを侵害されていません。それでも、購入者から見れば情報を預けた相手はその店舗です。「委託先が侵害された」は利用者に対する説明にはなっても、免責にはなりません。 本件で複数の店舗が自社サイトで個別に告知を出しているのは、その構造の必然的な帰結です。

2. 「どのサービスに、自社の顧客のどの項目が、いつから置かれているか」を平時に把握する: 有事に告知を出せるかどうかは、この把握の有無で決まります。提供元の発表を読んで初めて自社の預けている項目を確認しに行くようでは、告知は遅れ、内容も提供元の文面をなぞるだけになります。データマッピングは規制対応の書類仕事ではなく、自社の言葉で説明できるまでの時間を短くする準備です。

3. 提供元から配布された認証情報は、事案発生時に即座に回せる状態にしておく: 本件では店舗側の管理画面・メールシステム・FTPのログイン情報が漏えい対象に含まれています。これらを直ちに変更し、二段階認証を有効化することが必要ですが、誰がその認証情報を持っていて、どこに保管されているかが分からない状態では即応できません。外部サービスの認証情報の棚卸しは、事案が起きてからでは間に合わない作業です。

4. 口座情報が漏れている以上、振込先変更の連絡は別経路で確認するルールを先に決める: 攻撃者の手元には、店舗と運営元の関係および正規の振込先口座情報があります。この状態で「振込先が変更になりました」という連絡が届けば、文面の自然さだけで真偽を判断するのは困難です。金額や相手を問わず、振込先の変更はメール以外の既知の連絡先で確認するという運用ルールを、事案の渦中ではなく今のうちに決めておくべきです。

5. 利用者側は、カード番号の一部と有効期限が漏れていることの意味を理解する: セキュリティコードが漏えいしていないことは重要ですが、「だから安心」ではありません。氏名・住所・カード番号の先頭6桁と下4桁・有効期限の組み合わせは、カード会社や配送業者を装った連絡が本物らしく見えるための材料になります。身に覚えのない連絡には、記載された連絡先ではなく自分が知っている正規の窓口から折り返すことが、最も確実な防御です。パスワードの使い回しがある場合は、他サービスも含めた変更が必要です。

ヤグラの視点 — 攻撃面の拡張：自社のサーバは無傷でも、顧客名簿は他社の中にある

本件で被害を受けた店舗の多くは、自社のサーバーもネットワークも侵害されていません。それでも、自社の顧客の氏名・住所・電話番号・カード番号の一部が流出し、自社の名前で謝罪文を出しています。守るべきものは自社の設備の内側にあるとは限らないという事実が、これほど明快に現れる事案は多くありません。

前提に置くべきなのは、自社の攻撃面は自社が管理している資産の範囲では終わらないということです。ECカートやSaaSを採用した時点で、顧客データの物理的な置き場は他社の中に移り、その運用の巧拙は自社の意思決定の外に出ます。それは委託の当然の帰結であり、避けるべきことでもありません。ただし、攻撃面が外に伸びた分だけ、監視と説明の設計も外に伸ばす必要がある、というのが本件の教訓です。

具体的には、二つの方向があります。ひとつは接続点の監視です。外部サービスの中で何が起きているかを自社が直接見ることはできませんが、そのサービスと自社の間で交わされる通信は見えます。管理画面へのログイン、FTP接続、通常より大きな受注データのダウンロード、深夜帯の操作——こうした記録は、自社のログとして残せるものであり、外部サービス側の異常が自社の資産に波及する瞬間を捉えうる数少ない手がかりです。認証情報が漏えいしている今、これらの記録を単に取得しているだけでなく、異常として拾い上げられる状態にあるかどうかが問われます。人手で全ログを見切るのは現実的ではなく、AIによる横断的なログ監視で検知から初動までを短縮する体制が現実解になりつつあります。→ ヤグラ AI SOC

もうひとつはこの後に来る連絡への備えです。攻撃者の手元には、購入者の連絡先と、店舗側の認証情報と、正規の振込先口座があります。この材料が揃った状態で送られてくる「カード情報の再登録のお願い」や「振込先変更のご連絡」は、生成AIの助けを借りれば違和感のない日本語で、実在の取引関係を踏まえた文面として届きます。漏えいは終点ではなく、次の攻撃の起点です。 実際の手口を反映した訓練と、不審な連絡を1クリックで報告できる経路を、二次被害の波が来る前に用意しておくことが要ります。→ ヤグラ アウェアネス

自社のサーバが無傷であることは、この事案において何の慰めにもなりませんでした。だからこそ、守備範囲を「自社が保有する資産」ではなく「自社が説明責任を負うデータ」で引き直すことが、同じ構図の次の事案への備えになります。

今後の対応

• 初期侵入経路・悪用された脆弱性の公表
• 「延べ8,853,839件」から実際の対象人数・対象店舗数への特定
• クレジットカード情報の漏えい範囲の確定と、カード会社・決済事業者との連携状況
• 会員パスワードの保護方式（ハッシュアルゴリズム・ソルト・ストレッチングの有無）
• 利用店舗ごとの個別公表の進捗、および対象となった購入者への個別通知
• 漏えいした店舗側の管理画面・FTP認証情報を悪用した、店舗サイトの改ざん・決済スキミングの発生有無
• 振込先口座情報を悪用した、運営元・取引先を装う振込先変更詐欺の発生有無
• 購入者に対するフィッシングメール・SMS・なりすまし電話による二次被害の発生有無

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-07	第一報を公開（Eストアー第一報・第2報および利用店舗の公表をもとに作成）