---
title: "Eストアー「ショップサーブ」不正アクセス、最大885万件漏えいか。20年続く老舗ECで何が起きたのか、被害の広がりを整理する"
description: "BASE子会社Eストアーの老舗ネットショップ構築サービス「ショップサーブ」が約2カ月半にわたり不正アクセスを受け、購入者と出店者の情報あわせて最大885万3839件が漏えいした可能性。カード番号の一部や店舗の振込先口座まで対象が広がった経緯を整理した。"
url: https://itpostjp.com/security/estore-shopserve-unauthorized-access-breach/
category: "セキュリティ"
published_at: 2026-08-03T08:13:55Z
updated_at: 2026-09-01T03:30:00Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: claude-sonnet-5
terms: ["SaaS", "パスワード管理ツール", "フィッシング", "二段階認証", "個人情報保護法"]
---

# Eストアー「ショップサーブ」不正アクセス、最大885万件漏えいか。20年続く老舗ECで何が起きたのか、被害の広がりを整理する

IT Post編集部 ＆ 編集長 千田智也

BASE子会社Eストアーの老舗ネットショップ構築サービス「ショップサーブ」が約2カ月半にわたり不正アクセスを受け、購入者と出店者の情報あわせて最大885万3839件が漏えいした可能性。カード番号の一部や店舗の振込先口座まで対象が広がった経緯を整理した。

## 30秒で分かる結論

BASEの子会社であるEストアーは2026年8月1日、同社が運営するネットショップ構築サービス「ショップサーブ」が外部からの不正アクセスを受け、購入者や出店者に関する情報が外部へ送信されていたと発表しました。翌8月2日の第2報では、不正アクセスが行われていた期間が2026年5月21日から8月1日までの約2カ月半に及ぶこと、漏えいした情報に会員ID・暗号化されたパスワード・クレジットカード情報の一部（名義、番号の先頭6桁と下4桁、有効期限）に加え、ショップサーブを利用する店舗側の管理画面ID・パスワード、FTPのID・パスワード、振込先の銀行口座情報まで含まれることが明らかになりました。カードのセキュリティコードは保存しておらず対象外です。対象となる件数は、同一人物の複数登録を含む可能性がある延べ件数で最大885万3839件。Eストアーは、購入者・出店者の双方にパスワードの変更などを呼びかけています。

## まず初めに

約2カ月半、誰も気づかなかった。しかも被害は第一報のあとも膨らみ続けた。初日は「購入者の個人情報が出たかもしれない」だったのが、翌日には「カード番号の一部も」「店舗の振込先口座も」と、開けるたびに中身が増えていく福袋みたいなことになっている。しかもショップサーブは20年以上続く老舗だ。長く使ってきた店ほど、預けてきた情報の量も年季も違う。「利用者は気をつけましょう」で片づく話ではなく、預かる側の見張り方そのものが問われている。※個人の感想です

## ショップサーブとは

「ショップサーブ」は、Eストアーが2000年前後から提供している、ネットショップの構築・運営サービスです。事業者は月額料金を払うことで、商品ページの作成から受注管理、決済、メール配信、顧客管理までを一つの管理画面でまかなえます。自前でサーバーやシステムを用意しなくてもネット通販を始められる「ASP型」（近年はSaaS型とも呼ばれる）の仕組みで、専任のIT担当者を置きにくい中小の事業者に長く使われてきました。運営元のEストアーは東京証券取引所に上場する企業で、2024年にネットショップ作成サービス「BASE」を運営するBASE社の子会社になりました。老舗のサービスであるぶん、長年にわたって蓄積された購入者・出店者の情報を預かっている点が、今回の漏えいの規模にも関係しています。

## 何が起きたのか

Eストアーは、ネットショップを開設・運営するための「ショップサーブ」というサービスを、全国の店舗事業者向けに提供しています。同社の発表によると、2026年8月1日、外部の第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信していることを確認したとして、同日中に第一報を公表しました。

その後の調査で、8月2日に公表された第2報では、実際に不正アクセスが行われていた期間が2026年5月21日から8月1日までの約2カ月半にわたっていたこと、そして漏えいした情報の範囲が当初の発表より広いことが明らかになりました。

漏えいした可能性がある情報には、購入者の氏名・住所・電話番号・FAX番号・メールアドレス・勤務先・配送先といった情報に加え、会員ID・パスワード（暗号化された状態）、クレジットカードの名義・番号の一部（先頭6桁と下4桁）・有効期限が含まれます。カードのセキュリティコード（裏面などの3桁ないし4桁の番号）は保存していないため、今回の対象には含まれていないとしています。

さらに、ショップサーブを利用する店舗側の情報として、管理画面のログインID・パスワード、店舗メールシステムのID・パスワード、FTPのID・パスワード、振込先の銀行口座情報も対象に含まれると公表されました。対象件数は、同一人物の複数登録を含む可能性がある延べ件数で最大885万3839件とされています。

![南京錠とメールとクレジットカードを描いた挿絵](/images/articles/estore-shopserve-unauthorized-access-breach-inline-1.webp)

## なぜ重要なのか

今回の件は、単一の企業やサービスへの不正アクセスにとどまらず、「ショップサーブ」を使って通販サイトを運営している全国の店舗事業者と、そこで買い物をした購入者の双方に影響が及ぶ点が特徴です。約2カ月半という長期間にわたって不正アクセスに気づけなかったこと、そして第一報の時点では分かっていなかった被害範囲が、調査が進むにつれて段階的に拡大したことも、注目すべき点です。

クレジットカード情報の一部や、店舗が使う管理画面・メール・FTPのID/パスワード、銀行口座情報まで対象に含まれていることから、購入者だけでなく、ネットショップを運営する中小の事業者にとっても、直接的な実害につながりかねない内容です。

## 段階的に拡大する発表をどう受け止めるか

第一報から第2報にかけて被害範囲が広がったことについて、「最初の発表は過小評価だったのでは」と受け取る人もいるかもしれません。しかし、不正アクセスの調査は、侵入経路や影響範囲を正確に特定するまでに一定の時間がかかるのが実情であり、初動で分かっている範囲を先に公表し、調査の進展とともに情報を更新していくこと自体は、必ずしも不誠実な対応とは言えません。重要なのは、更新のたびに利用者が取るべき行動が明確に示されているかどうかです。

## 私たちへの影響

ショップサーブを利用しているネットショップで過去に商品を購入したことがある人は、Eストアーからの案内を確認してください。クレジットカードの利用明細に見覚えのない請求がないか確認し、心当たりのない場合はカード会社へ相談することが勧められます。また、ショップサーブの会員ID・パスワードを他のサービスと使い回している場合は、それらのサービスのパスワードもあわせて変更することが望ましいです。

ショップサーブでネットショップを運営している事業者は、管理画面・メールシステム・FTPのパスワード変更に加え、振込先口座に不審な出金がないかの確認が必要です。Eストアーからの案内に従って対応してください。

## 初心者が知っておくべきこと

不正アクセスとは、他人のシステムやサーバーに、正当な権限なく侵入することです。今回のように、侵入した第三者が保存されている情報を外部へ持ち出す行為は「情報漏えい」と呼ばれ、企業には個人情報保護法に基づく対応が求められます。

このような大規模な情報漏えいが起きると、漏れた氏名・メールアドレスなどをもとに、本人になりすましたり、関連する企業を装ったりするフィッシング詐欺のメールやSMSが送られてくることがあります。「Eストアー」や「ショップサーブ」を名乗る不審な連絡が届いた場合は、メール本文のリンクを開かず、公式サイトを自分で検索してアクセスするようにしてください。

パスワードを複数のサービスで使い回していると、1つのサービスから漏れた情報が、別のサービスへの不正ログインに悪用されることがあります。心当たりのある人は、この機会にパスワードの使い回しがないかを確認することをおすすめします。

![虫めがねとクレジットカードとスマートフォンを描いた挿絵](/images/articles/estore-shopserve-unauthorized-access-breach-inline-2.webp)

## IT Postの見方

IT Postでは、Eストアーが第一報の公表後も調査を継続し、被害範囲の拡大が判明した段階で速やかに第2報を公表したこと自体は、利用者への情報開示として評価できると考えます。一方で、実際の不正アクセス期間が2026年5月21日から8月1日までの約2カ月半に及んでいたにもかかわらず、発覚まで時間を要した点は、ネットショップ構築サービスのような多数の店舗・購入者の情報を預かる事業者の監視体制のあり方として、引き続き検証が必要だと考えます。

また今回、購入者だけでなく、サービスを利用する店舗側の管理用ID・パスワードや銀行口座情報までもが対象に含まれていたことは、ネットショップを運営する中小事業者が、自らの落ち度がなくても、委託先のプラットフォームの脆弱性によって直接的な被害を受けうることを示しています。中小事業者にとって、取引先のセキュリティ体制を自分たちだけで検証することは難しく、プラットフォーム事業者側の説明責任と再発防止の実効性が問われると考えます。※個人の感想です

## 今後どうなりそうか

Eストアーは、原因究明と再発防止策の実施を進めるとしています。今後、被害の全容がさらに更新される可能性があるほか、対象となった購入者・店舗への個別の通知や、クレジットカード会社との連携状況について、追加の発表が行われるか注目されます。

## 情報源

- [不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて](https://estore.jp/press/20260801/) — Eストアー（一次情報）
- [不正アクセスによる個人情報漏えいに関するお知らせ（第2報）](https://estore.jp/press/20260802/) — Eストアー（一次情報）
- [BASE子会社EストアーのEC構築・支援サービス「ショップサーブ」に不正アクセス、最大約885万件の店舗および購入者の情報が漏えい](https://internet.watch.impress.co.jp/docs/news/2130104.html) — Impress Watch
- [BASE子会社、最大885万件漏えいか カード番号の一部も ECサイト構築サービスに不正アクセス](https://www.itmedia.co.jp/news/article/2608/03/2000000355/) — ITmedia NEWS

## この記事に出てくるIT用語

- [SaaS](https://itpostjp.com/terms/saas/): インターネット経由で、必要な機能だけをサービスとして利用できるソフトウェアの提供方式です。
- [パスワード管理ツール](https://itpostjp.com/terms/password-manager/): サービスごとに異なるパスワードを、安全に保管して自動入力してくれるアプリです。
- [フィッシング](https://itpostjp.com/terms/phishing/): 実在する企業になりすまして、パスワードやカード番号をだまし取る詐欺です。
- [二段階認証](https://itpostjp.com/terms/two-factor-authentication/): パスワードに加えて、もう1つの確認をしてから入れるようにする仕組みです。
- [個人情報保護法](https://itpostjp.com/terms/personal-information-protection-act/): 企業や行政機関が個人情報を安全に取り扱うためのルールを定めた、日本の法律です。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/estore-shopserve-unauthorized-access-breach/