Eストアーの「ショップサーブ」で購入者情報が漏えい（2026年）

何が起きたか

Eストアーが運営するネットショップ向けサービス「ショップサーブ」のサーバーが、外部の第三者から不正アクセスを受けました。同社は、サーバー上で不正なプログラムが実行され、購入者情報が外部に送られて漏えいしたと発表しています。Eストアーの2026年8月2日の第2報

同社の初回発表は、8月1日午前の事象を報告しました。その翌日の第2報で、確認できている発生期間を5月21日から8月1日へ広げています。8月1日を攻撃全体の開始日とは扱いません。8月1日の第1報／8月2日の第2報

被害と影響

第2報は、購入者・配送先の氏名、住所、連絡先などに加え、会員ID・パスワード、カード名義・カード番号の一部・有効期限、利用店舗の管理画面やメールなどの認証情報を、漏えい対象の情報として挙げています。カード番号の全桁やセキュリティコードが漏えいしたとは書かれていません。同社は、セキュリティコードは保持しておらず、漏えい対象ではないと説明しています。Eストアーの第2報「2．漏えいした情報及び対象範囲」

8,853,839件は、同社が2026年8月2日14時時点で公表した対象件数です。同じ人について複数の登録データが含まれる可能性があるため、8,853,839人の情報が流出したという意味ではありません。第2報の時点でも対象範囲の調査は続いており、この数を最終確定件数とも言えません。どの情報区分が何件に当たるかも、第2報からは分かりません。Eストアーの第2報

同社は攻撃元からの通信を遮断し、その後アクセスできないことを確認したと発表しました。会員にはパスワードの変更、ほかのサービスで同じまたは似た情報をログインに使っている場合の見直しを、利用店舗にも管理画面などのパスワード変更を案内しています。これらは発表時点の対応であり、調査が終わったという意味ではありません。Eストアーの第2報「4．当社の対応状況」「お客様へのお願い」

出来事の時系列

上の時系列は8月1日の第1報と8月2日の第2報に基づきます。第1報の8月1日という記録を消さず、現在の発生期間には第2報を採用しています。

まだ分かっていないこと

第2報では、サーバーへの具体的な侵入方法は調査中です。公表件数に含まれる購入者の実人数、情報区分ごとの件数、個々の情報が外部送信された範囲も確定できません。サービス停止があったとも、この発表からは確認できません。第2報は8月2日時点で、この事案に起因する具体的な二次被害の報告は確認されていないと述べていますが、その後も被害がないと断定する情報ではありません。Eストアーの第2報

この事例から分かること

この事件では、複数の店舗が利用するサービスの提供者側のサーバーが侵害され、購入者情報が漏えいしました。被害を考える際には、店舗や購入者ごとに別の攻撃だったと数えるのではなく、同じサービス基盤で起きた一つの事案として見る必要があります。Eストアーの第2報