Eストアー「ショップサーブ」最終報、漏えいは約2,335万人・7,858店舗で確定

事案の概要データ

図解：この事故の構造

何が起きたのか

Eストアーは2026年8月1日、同社が提供するECサイト構築サービス「ショップサーブ」のサーバが不正アクセスを受け、最大885万3,839件の購入者情報が漏えいした可能性があると公表しました。

漏えいの可能性がある情報には、会員ID、暗号化されたパスワード、購入者データが含まれます。同社は利用店舗に対し、管理画面・メール・FTPのパスワード変更と、二段階認証の設定を行うよう要請しました。

被害が「掛け算」で広がる構造

この事案の規模が大きくなった理由は、ショップサーブが「ECサイトを作るための共通基盤」だからです。1つのサービスの上に多数のネットショップが乗っており、そのさらに先に各ショップのお客様がいます。

つまり、基盤が1回破られると「サービス事業者 × 出店店舗数 × 各店舗の顧客数」という掛け算で被害が広がります。885万件という数字は、この構造から生まれたものです。

中小企業の経営者にとって重要なのは、「自社は何も悪いことをしていなくても、使っているサービスが破られれば自社の顧客情報が漏れる」ということです。ECサイトやクラウドサービスを選ぶときは、価格や機能だけでなく、事業者のセキュリティ体制や、事故が起きたときの報告体制も確認材料になります。

利用店舗が今すぐやるべきこと

ショップサーブを利用している店舗は、まず管理画面・メール・FTPのパスワードをすべて変更し、二段階認証を設定してください。他のサービスで同じパスワードを使い回している場合は、そちらも変更が必要です。

また、自店舗のお客様に対して、何が起きたのかと注意すべき点（自店をかたるメールへの警戒、パスワードの使い回しの解消）を案内することも、店舗としての責任になります。

最終報で約2,335万人と確定

2026年10月16日、同社は最終報を公表しました。漏えい対象者は約2,335万6,000人、対象店舗は7,858店です。8月1日の第一報では「最大885万3,839件」とされていた数字が、調査の結果2.6倍以上に増えました。

原因も確定しています。2026年5月21日から8月1日にかけて、サーバ上のアプリケーションの脆弱性を悪用され、不正プログラムを実行されてデータベース内の情報が外部送信されていました。約2か月半にわたって取得され続けていたことになります。

カード情報については、約209万6,900人分にカード名義・番号の一部・有効期限が含まれると確定しました。完全なカード番号とセキュリティコードは保有しておらず対象外です。また、店舗のメール・FTPの認証情報と振込先口座情報も、調査の結果対象外と確認されました。

他経路の侵害やバックドアの設置は認められず、調査は完了しています。第一報から約2か月半をかけて、原因・範囲・件数すべてを確定させた形です。

初報の件数が最終的に大きく増える——これは珍しいことではありません。利用者としては、初報の数字を上限と考えず、「増えるかもしれない」前提で自衛するのが安全です。

時系列で見る経過

• 2026年7月ショップサーブのサーバへの不正アクセスが発生・検知される
• 2026年8月1日最大885万3,839件の購入者情報が漏えいした可能性があると公表
• 2026年8月1日利用店舗へ管理画面・メール・FTPのパスワード変更と二段階認証の設定を要請
• 2026年8月以降影響範囲の調査を継続
• 2026年5月21日〜8月1日【最終報で判明】サーバ上のアプリケーションの脆弱性を悪用され、不正プログラムによりDB内情報が外部送信される
• 2026年10月16日最終報を公表。漏えい対象者 約2,335万6,000人・対象店舗7,858店と確定。他経路の侵害やバックドア設置は認められず

中小企業が学ぶべきポイント

1. クラウドサービスやECプラットフォームは「自社のセキュリティの一部」。選定時に事業者の体制を確認する。
2. パスワードの使い回しをやめる。1か所の漏えいが他サービスへの侵入に直結する。
3. 二段階認証（二要素認証）は、案内が来てから設定するのではなく、平常時から有効にしておく。
4. 自社が利用するサービスで事故が起きたときの「お客様への案内文」を、あらかじめ雛形で用意しておくと初動が速い。

出典・参考

• 2026年8月 個人情報漏洩の事例 まとめ - セキュリティ対策Lab