株式会社EストアーのEC構築サービス「ショップサーブ」のサーバーで、アプリケーションの脆弱性を突かれ、5月21日から8月1日までデータベースの情報が外部へ送られていました。購入者・会員・店舗運営者など約2,335万6,000人分が漏えいし、うち約209万6,900人分にはカード番号の一部と有効期限が含まれます。
事故の概要
- 漏れたもの
- 氏名
- 住所
- 電話番号
- メールアドレス
- 勤務先・所属
- 会員番号・ユーザーID
- パスワード（ハッシュ）
- クレジットカード番号
- その他
- 件数
- 23,356,000件漏えい対象者約2,335万6,000人（購入者・会員・店舗運営者・アフィリエイターの名寄せ後の概数）。うちカード情報の一部を含む約209万6,900人。対象店舗7,858店。最初の公表時は延べ8,853,839件
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 確定
- 原因
- 不正アクセス
- ドメイン
- estore.jp
経緯
- 検知—
- 初動対応—
- 公表8/1
- 続報8/2
- 調査結果10/16
- 再発防止策—
公表2026年8月1日
Eストアーは、運営するECサイト構築サービス「ショップサーブ」のサーバーが外部から不正アクセスを受け、購入者情報が漏えいしたと公表しました。8月1日9時9分から11時6分ごろにかけて、第三者がサーバー上で不正なプログラムを動かし、購入者情報を外部へ送っていました。
漏えいしたのは氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意で入力された情報で、件数は延べ最大8,853,839件です。同じ人の複数の登録を含むため、人数ではないとしています。カード名義と番号の一部が含まれるかは調べている途中で、直ちに財産的な被害が出るおそれのある情報の漏えいは確認していません。
攻撃元との通信は遮断し、その後アクセスできないことを確かめました。個人情報保護委員会に報告し、警察への届け出も検討しています。同社や店舗を装って再決済や本人確認を求める連絡に応じないよう呼びかけ、ほかのサービスでは別々のパスワードと多要素認証を使うよう勧めています。
出典不正アクセスによる個人情報漏えいに関するお詫びとお知らせについてestore.jp
続報2026年8月2日
Eストアーは2回目の公表で、不正なプログラムの実行が8月1日だけでなく5月21日から続いていたと明らかにしました。件数は延べ8,853,839件のまま、調査を続けています。
漏えいした情報には新たに、メールマガジン会員を含む会員の会員IDと暗号化されたパスワード、カード名義、カード番号の一部（先頭6桁と下4桁）、有効期限が加わりました。セキュリティコードは保持していません。店舗側の情報として、ショップサーブ管理画面、店舗メール、FTPのIDとパスワード、同社からの振込先口座も対象に挙げました。
会員IDとパスワードは暗号化されていて悪用の可能性は低いとしつつ、不正ログインに備えて会員にパスワードの変更と注文履歴の確認を頼みました。店舗にもパスワードの変更と管理画面の二段階認証を勧めています。二次被害の報告はまだありません。
出典不正アクセスによる個人情報漏えいに関するお知らせ（第2報）estore.jp
調査結果2026年10月16日
Eストアーは最終の報告で、外部の専門機関によるフォレンジック調査が終わり、攻撃の手口と期間、漏えいの範囲が確定したと公表しました。5月21日から8月1日まで、第三者がサーバー上のアプリケーションの脆弱性を悪用して不正なプログラムを動かし、データベースの情報を外部に送っていました。ほかの侵入経路やバックドアは見つかっていません。
漏えい対象者は約23,356,000人で、このうちカード名義、番号の一部、有効期限を含むのは約2,096,900人、対象店舗は7,858店です。購入者と会員の情報のほか、管理画面のログイン情報、コンビニ払込票に載る店舗情報、アフィリエイト登録者のメールアドレスとパスワードも含まれます。2回目の公表で挙げた店舗メールとFTPのIDとパスワード、振込先口座は対象外と分かり、除きました。二次被害やダークウェブへの流出は確認されていません。
対象者への個別の連絡を終え、個人情報保護委員会と関東総合通信局に報告書を出し、警察に相談しました。脆弱性の修正、脆弱性診断と是正、管理画面などの二要素認証を含む認証の強化を済ませています。
出典不正アクセスによる個人情報漏えいに関するお知らせ（最終報）estore.jp
影響を公表した組織（2）
この事故で影響を受け、自分で公表した組織です。組織ごとの件数や対応は、それぞれのページにあります。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
このサービスを使っていた方へ
- 1同じパスワードを使っているサービスも含めて、パスワードを変えてください。
- 2会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
- 3知らない番号からの電話や SMS、届いた覚えのない郵便に気をつけてください。
- 4カードの利用明細を確かめ、覚えのない請求があればカード会社に連絡してください。
- 5会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。