BASE子会社Eストアーの老舗ネットショップ構築サービス「ショップサーブ」が約2カ月半にわたり不正アクセスを受け、購入者と出店者の情報あわせて最大885万3839件が漏えいした可能性。カード番号の一部や店舗の振込先口座まで対象が広がった経緯を整理した。
BASEの子会社であるEストアーは2026年8月1日、同社が運営するネットショップ構築サービス「ショップサーブ」が外部からの不正アクセスを受け、購入者や出店者に関する情報が外部へ送信されていたと発表しました。翌8月2日の第2報では、不正アクセスが行われていた期間が2026年5月21日から8月1日までの約2カ月半に及ぶこと、漏えいした情報に会員ID・暗号化されたパスワード・クレジットカード情報の一部（名義、番号の先頭6桁と下4桁、有効期限）に加え、ショップサーブを利用する店舗側の管理画面ID・パスワード、FTPのID・パスワード、振込先の銀行口座情報まで含まれることが明らかになりました。カードのセキュリティコードは保存しておらず対象外です。対象となる件数は、同一人物の複数登録を含む可能性がある延べ件数で最大885万3839件。Eストアーは、購入者・出店者の双方にパスワードの変更などを呼びかけています。
約2カ月半、誰も気づかなかった。しかも被害は第一報のあとも膨らみ続けた。初日は「購入者の個人情報が出たかもしれない」だったのが、翌日には「カード番号の一部も」「店舗の振込先口座も」と、開けるたびに中身が増えていく福袋みたいなことになっている。しかもショップサーブは20年以上続く老舗だ。長く使ってきた店ほど、預けてきた情報の量も年季も違う。「利用者は気をつけましょう」で片づく話ではなく、預かる側の見張り方そのものが問われている。※個人の感想です
「ショップサーブ」は、Eストアーが2000年前後から提供している、ネットショップの構築・運営サービスです。事業者は月額料金を払うことで、商品ページの作成から受注管理、決済、メール配信、顧客管理までを一つの管理画面でまかなえます。自前でサーバーやシステムを用意しなくてもネット通販を始められる「ASP型」（近年はSaaS型とも呼ばれる）の仕組みで、専任のIT担当者を置きにくい中小の事業者に長く使われてきました。運営元のEストアーは東京証券取引所に上場する企業で、2024年にネットショップ作成サービス「BASE」を運営するBASE社の子会社になりました。老舗のサービスであるぶん、長年にわたって蓄積された購入者・出店者の情報を預かっている点が、今回の漏えいの規模にも関係しています。
Eストアーは、ネットショップを開設・運営するための「ショップサーブ」というサービスを、全国の店舗事業者向けに提供しています。同社の発表によると、2026年8月1日、外部の第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信していることを確認したとして、同日中に第一報を公表しました。
その後の調査で、8月2日に公表された第2報では、実際に不正アクセスが行われていた期間が2026年5月21日から8月1日までの約2カ月半にわたっていたこと、そして漏えいした情報の範囲が当初の発表より広いことが明らかになりました。
漏えいした可能性がある情報には、購入者の氏名・住所・電話番号・FAX番号・メールアドレス・勤務先・配送先といった情報に加え、会員ID・パスワード（暗号化された状態）、クレジットカードの名義・番号の一部（先頭6桁と下4桁）・有効期限が含まれます。カードのセキュリティコード（裏面などの3桁ないし4桁の番号）は保存していないため、今回の対象には含まれていないとしています。
さらに、ショップサーブを利用する店舗側の情報として、管理画面のログインID・パスワード、店舗メールシステムのID・パスワード、FTPのID・パスワード、振込先の銀行口座情報も対象に含まれると公表されました。対象件数は、同一人物の複数登録を含む可能性がある延べ件数で最大885万3839件とされています。
今回の件は、単一の企業やサービスへの不正アクセスにとどまらず、「ショップサーブ」を使って通販サイトを運営している全国の店舗事業者と、そこで買い物をした購入者の双方に影響が及ぶ点が特徴です。約2カ月半という長期間にわたって不正アクセスに気づけなかったこと、そして第一報の時点では分かっていなかった被害範囲が、調査が進むにつれて段階的に拡大したことも、注目すべき点です。
クレジットカード情報の一部や、店舗が使う管理画面・メール・FTPのID/パスワード、銀行口座情報まで対象に含まれていることから、購入者だけでなく、ネットショップを運営する中小の事業者にとっても、直接的な実害につながりかねない内容です。
第一報から第2報にかけて被害範囲が広がったことについて、「最初の発表は過小評価だったのでは」と受け取る人もいるかもしれません。しかし、不正アクセスの調査は、侵入経路や影響範囲を正確に特定するまでに一定の時間がかかるのが実情であり、初動で分かっている範囲を先に公表し、調査の進展とともに情報を更新していくこと自体は、必ずしも不誠実な対応とは言えません。重要なのは、更新のたびに利用者が取るべき行動が明確に示されているかどうかです。
ショップサーブを利用しているネットショップで過去に商品を購入したことがある人は、Eストアーからの案内を確認してください。クレジットカードの利用明細に見覚えのない請求がないか確認し、心当たりのない場合はカード会社へ相談することが勧められます。また、ショップサーブの会員ID・パスワードを他のサービスと使い回している場合は、それらのサービスのパスワードもあわせて変更することが望ましいです。
ショップサーブでネットショップを運営している事業者は、管理画面・メールシステム・FTPのパスワード変更に加え、振込先口座に不審な出金がないかの確認が必要です。Eストアーからの案内に従って対応してください。
不正アクセスとは、他人のシステムやサーバーに、正当な権限なく侵入することです。今回のように、侵入した第三者が保存されている情報を外部へ持ち出す行為は「情報漏えい」と呼ばれ、企業には個人情報保護法に基づく対応が求められます。
このような大規模な情報漏えいが起きると、漏れた氏名・メールアドレスなどをもとに、本人になりすましたり、関連する企業を装ったりするフィッシング詐欺のメールやSMSが送られてくることがあります。「Eストアー」や「ショップサーブ」を名乗る不審な連絡が届いた場合は、メール本文のリンクを開かず、公式サイトを自分で検索してアクセスするようにしてください。
パスワードを複数のサービスで使い回していると、1つのサービスから漏れた情報が、別のサービスへの不正ログインに悪用されることがあります。心当たりのある人は、この機会にパスワードの使い回しがないかを確認することをおすすめします。
IT Postでは、Eストアーが第一報の公表後も調査を継続し、被害範囲の拡大が判明した段階で速やかに第2報を公表したこと自体は、利用者への情報開示として評価できると考えます。一方で、実際の不正アクセス期間が2026年5月21日から8月1日までの約2カ月半に及んでいたにもかかわらず、発覚まで時間を要した点は、ネットショップ構築サービスのような多数の店舗・購入者の情報を預かる事業者の監視体制のあり方として、引き続き検証が必要だと考えます。
また今回、購入者だけでなく、サービスを利用する店舗側の管理用ID・パスワードや銀行口座情報までもが対象に含まれていたことは、ネットショップを運営する中小事業者が、自らの落ち度がなくても、委託先のプラットフォームの脆弱性によって直接的な被害を受けうることを示しています。中小事業者にとって、取引先のセキュリティ体制を自分たちだけで検証することは難しく、プラットフォーム事業者側の説明責任と再発防止の実効性が問われると考えます。※個人の感想です
Eストアーは、原因究明と再発防止策の実施を進めるとしています。今後、被害の全容がさらに更新される可能性があるほか、対象となった購入者・店舗への個別の通知や、クレジットカード会社との連携状況について、追加の発表が行われるか注目されます。
Microsoftが2026年10月14日に公表した、中国語圏のフィッシングキット販売網の実態。10億通超のメール・SMS、7万5000以上の組織へ送られた攻撃の仕組みをMicrosoft公式ブログから確かめた
Microsoftが2026年9月29日に公表した、ロシア国家系とされる攻撃グループ「Star Blizzard」の新しいマルウェア配布手口「RedFlick」。2026年1月以降の13件の大規模フィッシング、米英の100超の組織への影響、クリック1回で感染する仕組みを確かめた
ローソンが2026年10月8日に発表した「ローソンID」「ローソンアプリ予約」への不正アクセス。215万5,345件という規模と、発生から公表までの経緯を整理する
株式会社ミスターマックスはアプリ・オンラインストアの会員情報の一部流出を確認。最大173万5154人は可能性の対象上限だ。流出していないと確認した項目、公表対応、通知と注意点を整理する
