ネットショップ構築・運営支援サービス「ショップサーブ」で、不正アクセスによる個人情報漏えいが発生しました。
運営会社の株式会社Eストアーは、2026年10月16日に調査結果の最終報告を公表。漏えい対象者は約2,335万6,000人、対象店舗は7,858店舗としています。現在利用中の店舗だけでなく、過去に利用していた店舗も含まれます。estore.jp
この記事では、現時点で公表されている事実と、購入者・店舗運営者が取るべき対応を整理します。
※本記事は2026年10月16日時点の公式発表に基づいています。対応策には、公式案内に加えて一般的なセキュリティ対策を含みます。
ショップサーブで何が起きたのか
Eストアーの発表によると、第三者がサーバー上で動くアプリケーションの脆弱性を悪用し、不正なプログラムを実行。データベースに保存されていた情報を外部へ送信していました。
確認された攻撃期間は、2026年5月21日から8月1日までです。同社は8月1日に攻撃元からの通信を遮断し、それ以降は攻撃が成立していないと説明しています。estore.jp
個々のショップを運営する事業者にも影響が及んでいますが、今回公表された侵害の対象は、Eストアーが管理するショップサーブのシステムです。
どのような情報が漏えいしたのか
公式発表に記載されている主な対象情報は、次のとおりです。
| 区分 | 主な対象情報 |
|---|---|
| 購入者・配送先情報 | 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報 |
| 会員情報 | 会員ID、暗号化されたパスワード |
| カード情報の一部 | カード名義、カード番号の先頭6桁・下4桁、有効期限 |
| 店舗関連情報 | 管理画面のログインID・パスワード、払込票に記載された店舗情報 |
| アフィリエイト登録情報 | メールアドレス、パスワード |
すべての対象者について、表の情報が一律に漏えいしたという意味ではありません。実際の対象項目は、個別の通知で確認する必要があります。estore.jp
クレジットカードは不正利用されるのか
カード情報の一部が対象となった人数は約209万6,900人です。
ただし、Eストアーは完全なカード番号とセキュリティコードを保有しておらず、今回漏えいした情報だけではカード決済できないと説明しています。estore.jp
一方、氏名やカードの一部情報を使い、カード会社などを装って信用させる連絡には警戒が必要です。「カード情報の一部だから問題ない」と受け止めず、不審な案内への対応に注意しましょう。
初期発表から対象外となった情報もある
8月の第2報で対象として挙げられていた、店舗メールシステム・FTPの認証情報と振込先口座情報は、最終調査で漏えい対象外と確認されました。古い記事を読む場合は、この変更に注意してください。estore.jp
過去に利用したショップから通知が来る理由
今回の対象には、ショップサーブを過去に利用していた店舗も含まれます。
例えばPFUは、現在の本店ではショップサーブを利用していないものの、旧システムを通じて取得された顧客情報が漏えい対象になったと公表しています。www.pfu.ricoh.com
そのため、「最近その店で買っていない」「現在のサイトは別のシステムだから関係ない」とは限りません。また、各店舗の発表が続いていても、それぞれで新たな不正アクセスが発生したとは限らず、同じ事件について個別に通知している場合があります。
購入者・会員が取るべき対応
1．通知はショップの公式サイトで確認する
漏えい通知が届いたら、メール内のリンクをすぐに開くのではなく、普段のブックマークなどから公式サイトにアクセスしましょう。
確認したいのは、対象になった利用期間、漏えいした項目、パスワード変更などの案内です。対象店舗が分からない場合は、Eストアーの公式発表内にある相談窓口で確認できます。estore.jp
2．パスワードの使い回しを見直す
Eストアーは、購入者のパスワードは暗号化されており、特定・悪用される可能性は低いと判断しています。estore.jp
そのうえで、一般的な予防策として、対象サービスと同じパスワードを他でも使っている場合は変更を検討しましょう。特にメールアカウントは、各サービスのパスワード再設定に使われるため、固有のパスワードと二要素認証で保護することが大切です。
変更する際は、通知メールのリンクではなく公式サイトから操作してください。
3．カードの利用明細を確認する
一般的な対策として、カードの利用通知を有効にし、身に覚えのない請求がないか確認しましょう。不審な請求があれば、カード裏面などに記載された正規の窓口に連絡してください。
カードの停止・再発行が必要かどうかは、個別の通知内容やカード会社の案内に従って判断します。
4．再決済・情報再入力を求める連絡に注意する
Eストアーは、本件を理由にカード情報の再入力や再決済を依頼せず、メール・SMSでパスワードを尋ねることもないと明示しています。estore.jp
「返金手続き」「本人確認」「アカウント停止解除」などを理由に情報入力を求められた場合は、その場で対応せず、公式窓口へ確認しましょう。
店舗運営者が確認すべきこと
店舗側は、Eストアーからの個別案内を確認したうえで、次の点を点検しましょう。以下は一般的な運用上の確認事項です。
- 自店舗の対象期間・情報項目・顧客への通知状況を把握する
- 管理画面のパスワード変更や認証強化の案内に対応する
- 管理者アカウントや登録情報に不審な変更がないか確認する
- 顧客向けのお知らせと問い合わせ対応を統一する
- 不要な顧客情報の保存期間や、退店・移行後の削除方針を確認する
顧客への説明では、サービス全体の対象情報と、自店舗で確認された対象情報を分けて伝えることが大切です。
現在の対応状況は
Eストアーは、悪用された脆弱性の修正、認証情報のリセット、脆弱性診断、管理画面等の認証強化などを実施したとしています。
最終報告の公表時点で、本件に起因する具体的な二次被害の報告と、ダークウェブ上への流出は確認されていないとのことです。ただし、これは漏えい自体がなかったという意味ではありません。estore.jp
今回の件は、外部サービスを利用する場合でも、顧客情報の保存や削除、事故時の連絡体制まで確認する必要性を示しています。購入者は個別通知を確認し、店舗運営者は自店舗への影響を把握したうえで、具体的な対応につなげることが重要です。
参考：公式発表
Eストアー：不正アクセスによる個人情報漏えいに関するお知らせ（最終報・2026年10月16日）
