株式会社EストアーのEC構築サービス「ショップサーブ」への不正アクセスで、購入者・会員など約2,335万人の情報が漏えい対象者・漏れた情報・今やるべきこと
結局どうすればいい？
公式の案内
- 同社や金融機関を装った不審なメール・SMS・電話に注意する。同社がカード情報の再入力や再決済、パスワードを求めることはない
基本情報
| 組織 | 株式会社Eストアー |
|---|---|
| 公表日 | 2026年8月1日 |
| 発生日 | 2026年5月21日 |
| 発覚日 | 2026年8月1日 |
| 種別 | 外部からの攻撃 |
| 状態 | 確定 公式発表で漏えいが確認されています |
| 規模 | 漏えいの対象者（合計） 約2,335万6,000人 うちクレジットカード情報の一部 約209万6,900人 |
| 最終更新 | 2026年10月16日 |
| 最新の続報 | 2026年10月16日 調査結果を公表（最終報） |
| 一次情報 | 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」 |
何が起きたか
株式会社Eストアーは2026年8月1日、EC構築・運営支援サービス「ショップサーブ」への不正アクセスを公表しました。10月16日の最終報で、5月21日から8月1日にかけて購入者・会員・店舗・アフィリエイターの情報約2,335万6,000人分が外部へ送信され、うち約209万6,900人はカード番号の一部などを含むと確定しています。
自分は対象か
「ショップサーブ」で作られたECサイト（対象7,858店・過去の利用店を含む）の購入者・会員と、店舗運営者・アフィリエイター（約23,356,000人・概数）
公式発表では、利用者に対応をお願いしています。上の「結局どうすればいい？」をご確認ください。
漏れた情報
| 情報 | 状態 | 規模 | 説明 |
|---|---|---|---|
| 漏えいの対象者（合計） | 確定 | 約2,335万6,000人 | 購入者・会員・店舗運営者・アフィリエイターを集計した人数。名寄せで重複を除いているが、基準に満たない重複は除ききれないため概数としている。全員の氏名が含まれるわけではない |
| うちクレジットカード情報の一部 | 確定 | 約209万6,900人 | カード名義、カード番号の一部（先頭6桁と下4桁）、有効期限。完全な番号とセキュリティコードは含まない（上の合計の内数・加算しない） |
| 氏名 | 確定 | 件数は公表されていません | 購入者（配送先を含む）の氏名と、コンビニ払込票に記載された店舗の販売責任者の氏名。項目別の人数は公表されていない（加算しない） |
| 住所 | 確定 | 件数は公表されていません | 購入者（配送先を含む）の住所と、コンビニ払込票に記載された店舗の郵便番号・住所。項目別の人数は公表されていない（加算しない） |
| 電話番号・FAX番号 | 確定 | 件数は公表されていません | 購入者（配送先を含む）と、コンビニ払込票に記載された店舗の電話番号・FAX番号。項目別の人数は公表されていない（加算しない） |
| メールアドレス | 確定 | 件数は公表されていません | 購入者のメールアドレスと、アフィリエイトプログラム登録者のメールアドレス。項目別の人数は公表されていない（加算しない） |
| 会員ID・管理画面のログインID | 確定 | 件数は公表されていません | 会員（メールマガジン会員を含む）の会員IDと、店舗のショップサーブ管理画面のログインID。項目別の人数は公表されていない（加算しない） |
| 会員の暗号化されたパスワード | 確定 | 件数は公表されていません | 会員の暗号化されたパスワード。同社は特定される可能性は低く、ログイン先の店舗を紐付ける情報も含まれないため、悪用の可能性は低いと判断している。項目別の人数は公表されていない（加算しない） |
| 管理画面・アフィリエイターのパスワード | 確定 | 件数は公表されていません | 店舗のショップサーブ管理画面のパスワードと、アフィリエイトプログラム登録者のパスワード。暗号化の有無は公表されていない（同社は認証情報のリセットを実施済み）。項目別の人数は公表されていない（加算しない） |
| 店舗情報（コンビニ払込票） | 確定 | 件数は公表されていません | コンビニ払込票に記載された店舗名と販売責任者の氏名・住所・電話番号など。対象店舗は7,858店（過去の利用店を含む） |
| 勤務先・任意の入力情報 | 確定 | 件数は公表されていません | 購入者の勤務先と、その他購入者が任意に入力した情報。項目別の人数は公表されていない（加算しない） |
数は公式発表の値です。人数・件数など単位の違う数は合計していません。
漏れていないと公表された情報
- 完全なカード番号とセキュリティコード（同社は保持していない）
- 店舗メールシステムのログインID・パスワード、FTPのID・パスワード、同社からの振込先口座情報（第2報で対象としたが調査で除外）
原因
企業の対応
- 8月1日に攻撃元からの通信を遮断し、悪用された脆弱性を修正
- 外部専門機関のフォレンジック調査を完了（ほかの侵入経路やバックドアは無し）
- 対象者への個別連絡を完了（連絡先が分からない人は最終報の公表で代替）
- 個人情報保護委員会と関東総合通信局へ報告書を提出し、警察に相談
- 管理画面などに二要素認証・二段階認証を追加
この件を口実にした詐欺に注意
情報漏えいの後は、その企業や「補償」「返金」を名乗るメール・SMS・電話が増えることがあります。届いた連絡のリンクや番号ではなく、公式サイトや、手元のカード・契約書に書かれた窓口から確かめてください。 フィッシングメール・偽SMSの見分け方と、届いたときの対処
公式発表と出典
- 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（公式発表・一次情報・資料の日付 2026年10月16日・確認日 2026年10月16日）
更新履歴
- 2026-10-16 調査結果を公表（最終報）
5月21日から8月1日まで、アプリケーションの脆弱性を悪用してデータベースの情報が外部へ送信されていた。対象者は約2,335万6,000人、対象店舗は7,858店で確定した。
出典: 不正アクセスによる個人情報漏えいに関するお知らせ（最終報） - 2026-08-01 不正アクセスを公表（第1報）
8月1日に不正アクセスを認知し、攻撃元からの通信を遮断した（最終報の記載による。第1報・第2報（8月2日）の本文は確認していない）。
出典: 不正アクセスによる個人情報漏えいに関するお知らせ（最終報）
関連
同じ原因（不正アクセス）の事故
- 株式会社Schoo: Webサイトに使うクラウドサービス「Studio」への不正アクセスで、問い合わせ・申し込みフォームの入力情報約2,600人分が漏えいした可能性
- ポケットサイン株式会社: Webサイトに使うクラウドサービス「Studio」への不正アクセスで、画面に出ていなかったフォームに送られた情報228件が漏えいした可能性
- 日本電気株式会社: システム開発・保守の委託先へのサイバー攻撃で、顧客のシステムに不正アクセス、個人情報を含むファイルが漏えい
- 株式会社Globee: 英語学習サービス「abceed」の関連システムに不正アクセス、メールアドレスとハッシュ化されたパスワード10,834アカウント分が漏えいした可能性
- 株式会社フジテレビジョン: 番組宣伝システムへの不正アクセスで、メディア関係者の氏名・会社名・メールアドレスなど最大730件が漏えいした可能性
漏れた情報から探す: 氏名・メールアドレス・パスワード・住所・電話番号・クレジットカード情報・ID・会員番号・取引先の情報・その他 ／ 2026年8月に公表された事故