最終更新：10 月 23 日 10:34（日本時間）
続報が出たら追記します。
すぐ見る：店舗がやること ／ 購入者がやること ／ 経緯
要点
ショップサーブの不正アクセス（2026 年 10 月 16 日の最終報まで）
- ネットショップの仕組み「ショップサーブ」を提供する Eストアーのサーバーで、2026 年 5 月 21 日から 8 月 1 日まで、アプリケーションの弱点を悪用され、データベースの情報が外部へ送られていた
- 対象は約 23,356,000 人分の購入者の情報で、うち約 2,096,900 人分にカード情報の一部（名義・番号の先頭 6 桁と下 4 桁・有効期限）が含まれる。完全なカード番号とセキュリティコードは含まれていない。店舗は 7,858 店が対象
- 店舗は管理画面などのパスワード変更と二段階認証、購入者はなりすましの連絡に注意し、パスワードを変える。どちらも、身に覚えのない請求や注文がないかを確かめる
この記事では、Eストアーの第 1 報・第 2 報・最終報と、個人情報保護委員会の説明だけをもとに、何が起きたのか、ショップサーブで店を出している事業者と、ショップサーブの店で買い物をした人がそれぞれ何をすればよいかを整理します。
何が起きたか
最終報で分かったことです。Eストアーによると、外部の第三者が、同社のサーバーで動いているアプリケーションの弱点（脆弱性）を悪用して不正なプログラムを動かし、データベースに入っていた情報を外部へ送っていました。期間は 2026 年 5 月 21 日から 8 月 1 日までです。同社は 8 月 1 日に気づいて攻撃元との通信を遮断し、それ以降は攻撃が成り立っていないこと、ほかの経路からの侵入や、裏口（バックドア）となるプログラムの設置も見つかっていないことを確認したとしています。
| 対象 | 内容 |
|---|---|
| 購入者 | 約 23,356,000 人分。氏名・住所・電話番号・メールアドレスなど、会員 ID と暗号化されたパスワード。うち約 2,096,900 人分は、カード名義・カード番号の一部（先頭 6 桁と下 4 桁）・有効期限も含む |
| 店舗 | 7,858 店（過去に使っていた店舗を含む）。ショップサーブの管理画面のログイン情報、販売責任者の氏名・店舗名・住所・電話番号など |
| 含まれないもの | 完全なカード番号とセキュリティコード（同社はもともと持っていない）。第 2 報で対象としていた店舗のメール・FTP のログイン情報と振込先の口座情報は、調査の結果、対象から外された |
Eストアーは、漏えいした情報だけではカード決済はできないこと、パスワードは暗号化されていて特定される可能性は低いと判断していることを説明しています。外部の専門機関による調査は終わり、個人情報保護委員会などへの報告と、警察への相談をしているとしています。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 16 日 | 最終報。対象を約 23,356,000 人分（うちカード情報の一部を含む約 2,096,900 人分）・7,858 店と確定し、原因・調査結果・報告の状況を公表 |
| 8 月 6 日 | 購入者向けマイページのログインの仕組みを変更したと、店舗向けに案内 |
| 8 月 2 日 | 第 2 報。期間を 5 月 21 日〜8 月 1 日に広げ、会員 ID・パスワード、カード情報の一部、店舗の情報も対象に加えた（この時点の公表件数は 8,853,839 件） |
| 8 月 1 日 | 不正アクセスに気づき、通信を遮断。第 1 報を公表 |
| 5 月 21 日〜8 月 1 日 | 外部の第三者が、アプリケーションの弱点を悪用してデータベースの情報を外部へ送っていた期間 |
ショップサーブで店を出している事業者がやること
- ショップサーブの管理画面・メール・FTP のパスワードを変え、管理画面の二段階認証を設定する（第 2 報での Eストアーの案内）
- 顧客から問い合わせや被害の申し出があったら、Eストアーの窓口につなぐ。Eストアーは問い合わせを一元で受けるとしている
- 自社の店のお知らせで、事実と問い合わせ先を案内する。Eストアーや店を装った連絡で、カード情報の再入力や再決済を求めることはない、と添えると、なりすましの被害を防ぎやすい
- 個人情報保護委員会への報告と、顧客への通知の扱いを確かめる（次の項目）
報告と通知の扱い（個人情報保護委員会の説明）
個人情報保護委員会によると、個人データの扱いを外部に任せている場合、報告の対象になる漏えいでは、原則として任せた側（店舗）と任された側（委託先）の両方が、委員会への報告と本人への通知の義務を負い、報告は連名でもできます。速報は気づいてからおおむね 3〜5 日以内、不正アクセスのように不正な目的によるおそれがある場合の確報は 60 日以内が目安です。公表は義務ではありませんが、内容に応じて公表することが望ましいとしています。実際に、Eストアーと連名で委員会に報告したと公表した店舗もあります。自社がどの扱いになるかは、Eストアーの店舗向け窓口や専門家に確かめてください。
ショップサーブの店で買い物をした人がやること
- Eストアーや店、金融機関を装うメール・電話・SMS に応じない。Eストアーは、カード情報の再入力や再決済を求めることはないとしている
- カードの利用明細に身に覚えのない請求がないかを見て、あればカード会社に連絡する
- 店の会員のパスワードと、同じパスワードを使っているほかのサービスのパスワードを変える。注文履歴に身に覚えのない注文がないかも見る
自社のネットショップで見直すこと
ネットショップの仕組みを外部のサービスに任せていても、集めた顧客の情報についての説明は店にも求められます。個人情報保護委員会も 2026 年 10 月の注意喚起で、クラウドサービスを使う事業者に、適切なセキュリティ対策が取られているサービスを選ぶことや、持っている個人データが本当に必要かを確かめることを呼びかけています（この記事での整理を含む）。
- 使っているサービスを一覧にする ネットショップ・決済・予約・フォーム・メール配信など、顧客の情報を預けているサービスと、それぞれの事故のお知らせを見る場所を控えておく。
- 管理画面は二段階認証にする ログイン情報が漏れても、それだけでは入られないようにする。担当者ごとにアカウントを分ける。
- 顧客への連絡文と窓口を用意しておく 事故のときに慌てないよう、お知らせのひな形と、問い合わせを受ける人を決めておく。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、使っているサービスの事故の情報を追い、更新と安全対策を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
