Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-estore-shopserveIT/クラウド最終確認 2026-10-16 21:33

Eストアー「ショップサーブ」への不正アクセス・不正プログラム設置（最終報で対象者約2,335万6,000人・対象店舗7,858店）

公表日

株式会社Eストアー（BASE株式会社）
調査中不正アクセスマルウェア感染サプライチェーンサプライチェーン：起点

多くのネットショップが使うEC構築サービス「ショップサーブ」のサーバーに不正なプログラムが仕掛けられ、購入者情報など延べ約885万件が外部に送られました。影響を公表したお店は60を超えています。

対象者は？

ショップサーブを使っている、または過去に使っていたネットショップで買い物をした方や会員の方です。すでに別のサービスへ移ったお店の、古い購入者情報も含まれています。件数は延べ8,853,839件で、同じ人の重複を含むため人数ではありません。氏名・住所・電話番号・メールアドレスなどの購入者情報のほか、会員IDとパスワード（暗号化して管理）、一部ではクレジットカードの名義・番号の先頭6桁と下4桁・有効期限も対象です。セキュリティコードは保存されておらず対象外です。保存されていた項目はお店ごとに違い、多くのお店は「自社のお客様のカード情報・パスワードは漏えいしていない」と公表しています。

Eストアーは対象のお店の一覧を公表していません。買い物をしたお店がそれぞれお知らせを出しているので、そのお店のサイトを確認してください。対象の購入者には2026年8月7日からメールでの個別通知が順次行われています。

Eストアーのお知らせ（第2報） ↗購入者向けマイページのログイン方法変更のお知らせ ↗

いますぐできること

  • よく使うネットショップがショップサーブを使っていないか、お店のお知らせを確認する。会員登録しているなら、そのお店のパスワードと、同じパスワードを使い回している他のサービスのパスワードを変更する
  • クレジットカードの利用明細に身に覚えのない請求がないか確認する
  • お店やカード会社を名乗るメール・SMSのリンクは開かず、公式サイトから確認する

何が起きたのか

Eストアーが運営する「ショップサーブ」は、中小企業を中心に多くのお店がネットショップを作るのに使うサービスです。2026年8月1日、このサービスのサーバー上で外部の第三者が不正なプログラムを動かし、購入者情報を外部に送っていたことが分かりました。最初の発表では同じ日の約2時間の出来事としていましたが、翌日の第2報で、送信は5月21日から8月1日まで続いていたと訂正されました。対象の情報にも、会員のパスワードやカード情報の一部、お店の管理画面のパスワードや振込先口座が加わりました。その後、利用しているお店が自社のお客様への影響を順次発表し、ネットショップを一時休止するお店も相次ぎました。

なぜ起きたのか・なぜ広がったのか

どこから、どのように侵入されたかは、まだ公表されていません。被害が広がったのは、たくさんのお店が同じサービスの上でネットショップを動かしていたためで、お店の多くは自社が直接攻撃されたわけではありません。また、すでにショップサーブをやめたお店のお客様の古い情報も残っていて、対象に含まれていました。

いまの状況2026-10-01 時点続報待ち

Eストアーは攻撃元からの通信を遮断し、8月6日には購入者向けマイページのログインの仕組みを強化しました。個人情報保護委員会へも報告しています。一方で、侵入の経路、カード情報や口座情報の件数、対象のお店の数と実際の人数は、まだ発表されていません。2026年10月10日の時点で、Eストアーの第3報は出ていません。

企業として考えたいこと

自社のネットショップを外部のサービスで作っている場合、そのサービスに預けたお客様の情報を、乗り換えや解約のあとに消してもらえているでしょうか。

技術的な要約

BASEの完全子会社Eストアーが運営するEC構築サービス「ショップサーブ」のサーバー上で、外部の第三者がアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベース内の情報を2026年5月21日〜8月1日に外部へ送信していた。8月1日の第1報は同日9:09〜11:06頃・購入者情報のみとしたが、8月2日の第2報で期間を拡大し、会員ID・パスワード（暗号化管理）、カード情報の一部、店舗関連情報を加えた（公表件数は延べ8,853,839件で、重複を含み人数ではない）。10月16日の最終報で、漏えい対象者数は名寄せした概数で約2,335万6,000人、うちカード情報の一部（名義・先頭6桁と下4桁・有効期限）を含む方は約209万6,900人、対象店舗は現在・過去の利用店舗7,858店と公表された。第2報の店舗メールシステム・FTPの認証情報と振込先口座情報は、調査の結果、対象から除外された。具体的な二次被害やダークウェブ上への流出は確認されておらず、個人情報保護委員会と関東総合通信局へ報告書を提出し、所轄警察署へ相談している。

侵入
2026-05-21
被害発生
2026-05-21
検知
2026-08-01
第1報公表
2026-08-01
最新続報
2026-10-16
侵入 → 検知
72日
侵入日から算出
検知 → 公表
0日
データ（上限）
2,335.6万人
確定 —
波及先
7858
店（現在・過去の利用店舗、最終報）

攻撃の分類

侵入口
Webアプリ脆弱性公表で確認
最終報（2026-10-16）は、外部の第三者が当社サーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースに格納された情報を外部へ送信していたと確認。期間は2026年5月21日〜8月1日。8月1日に攻撃元からの通信を遮断し、以降は攻撃が成立していない。この経路以外の侵害やバックドア等の設置は認められなかった。脆弱性の具体的内容（製品名・CVE等）は入力の範囲では示されていない。
脆弱性
CVE 非公表公表で確認
サーバー上で稼働するアプリケーション（製品名・CVEは入力の範囲では非公表）
最終報でEストアーは、2026年5月21日から8月1日まで、サーバー上のアプリケーションの脆弱性が悪用されデータベース情報が外部送信されたことを確認したと公表。
攻撃者
特定・主張なし
ATT&CK
T1005 Data from Local SystemT1020 Automated Exfiltration

影響

業務停止
なし ショップサーブ自体のサービス停止は公表されていない。一方で利用店舗側では、日本製紙クレシアが『クレシア オンラインショップ』を8/18時点で休止、明大グッズネットショップが8/3から一時停止、ベネッセハウスオンラインショップが8/7に停止し10/1に再開するなど、自主的な休止が相次いだ。8/6にはショップサーブが『不正ログイン防止を目的として』購入者向けマイページのログインシステムのセキュリティ強化を実施し、過去に仮パスワードを発行されそのまま使い続けている一部購入者は認証エラーになる場合があるとした（店舗から購入者へ一律にパスワード変更を案内する必要はないとも記載）。
期間：店舗側の休止は例としてベネッセハウスオンラインショップが2026-08-07〜10-01。プラットフォーム全体の停止期間は公表なし
データ
調査中上限 23,356,000確定 —人
氏名住所電話メール会員IDハッシュ化PWクレカ取引先情報その他
【最終報（2026-10-16）】漏えい対象者数は約23,356,000人（お客様・店舗運営者様・アフィリエイター様を名寄せした概数）、うちクレジットカード情報の一部（カード名義、先頭6桁および下4桁、有効期限）を含む方は約2,096,900人、対象店舗は現在・過去の利用店舗7,858店。第2報で対象としていた店舗メールシステムのログインID・パスワード、FTPのID・パスワード、振込先口座情報は調査の結果、対象から除外された。一方、コンビニ払込票に記載された店舗情報（販売責任者の氏名、店舗名、郵便番号、住所、電話番号、FAX番号）とアフィリエイトプログラム登録者のメールアドレス・パスワードが対象情報として示された。第1報・第2報の延べ8,853,839件は重複を含む件数で、最終報の人数とは単位が異なる。具体的な二次被害やダークウェブ上への流出は確認されていない。
波及先
7858 店（現在・過去の利用店舗、最終報）
  • PFU（PFUダイレクト本店。2025年10月に移行済みの旧ストアの2008年12月以降の注文データ最大169,355件）
  • キングジム（旧キングジムストア・旧オフィスオンライン、2022年8月以前の購入者情報）
  • 日本製紙クレシア（クレシア オンラインショップを休止）
  • ハリマ化成グループ（ハリマ食品オンラインショップ）
  • マンズワイン（旧オンラインショップ、2006年4月〜2025年9月の顧客情報）
  • デザインフィル（ミドリオンラインストア等）
  • プロギア（PRGRオンラインショップ）
  • フランスベッド（介護レンタル.com・介護宅配便、確認中）
金銭影響
BASEは2026年8月5日の2026年12月期中間決算短信の追加情報で本件に言及し、業績への影響は『軽微』の見込みだが精査中、大きな影響が見込まれる場合は速やかに開示するとした（piyolog経由。短信PDFはrobots.txtにより取得できず本文未確認）。BASEの8/1・8/2のお知らせには業績影響の記載はない。補償額・特別損失は公表なし。
サプライチェーン
中小企業を中心に多数のEC事業者が利用するマルチテナント型EC構築サービスのサーバーが侵害され、利用店舗の購入者情報が一括して外部送信された。Eストアーは対象店舗一覧を公表せず、利用店舗へ個別連絡（8/2〜、9/25〜28にも追加連絡）し、店舗が自社の顧客について個別に公表する二段構造になった。既にショップサーブから移行・解約した過去の利用店舗（キングジム 2022年移行、マンズワイン 2025年9月移行、PFU 2025年10月移行など）の顧客データも残存しており対象に含まれた。店舗の管理画面・メール・FTPの認証情報と振込先口座も漏えい対象のため、店舗自身が二次的な攻撃起点になりうる構造でもある。親会社BASEは2025年7月にEストアーを完全子会社化している。

時系列

  1. 2026-05-21
    不正プログラムによる購入者情報の外部送信が始まった日（第2報で判明した対象期間の始期）21011
  2. 2026-08-01 09:09
    第1報で示された不正プログラムの実行時間帯（9:09〜11:06頃）の始まり。外部の第三者が当社サーバー上で不正なプログラムを実行し購入者情報を外部に送信したことをEストアーが確認1101214
  3. 2026-08-01
    Eストアーが第1報『不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて』を公表（最大で延べ8,853,839件、購入者情報。パスワードは含まれず、カード名義・番号の一部は調査中）。攻撃元からの通信を遮断済み、個人情報保護委員会へ報告予定、所轄警察署への届出を検討と記載。親会社BASEも同日公表し『連携体制を構築』と付記141013
  4. 2026-08-02
    第2報（8/2 14:00時点）。対象期間を5/21〜8/1に拡大し、会員ID・パスワード（暗号化管理）、カード情報の一部（名義・先頭6桁と下4桁・有効期限）、店舗の管理画面/メール/FTP認証情報と振込先口座を追加。会員にはパスワードの速やかな変更、店舗には各パスワード変更と管理画面の二段階認証を依頼。同日、利用店舗・過去の利用店舗に連絡。BASEも第2報を公表（詳細はEストアーに委ねる）2591011
  5. 2026-08-03
    デザインフィル、プロギア、アーテック、ノフル等の利用店舗が自社顧客への影響を順次公表開始1718
  6. 2026-08-05
    BASEが中間決算短信の追加情報で言及（業績影響は軽微の見込み、精査中）610
  7. 2026-08-06
    ショップサーブが『購入者向けマイページのログイン認証システム変更のお知らせ』を掲載（不正ログイン防止目的のセキュリティ強化。本件・脆弱性への言及なし）。piyologによれば同日、原因となった脆弱性の対策完了が利用店舗へ報告された。ハリマ化成グループが公表。オカベの告知でEストアーと連名の個人情報保護委員会報告が判明3710
  8. 2026-08-07 16:00
    対象購入者へのメールによる個別通知が順次開始（利用店舗の告知による）。日本製紙クレシアも8/7から案内メールを送付810
  9. 2026-08-18
    日本製紙クレシアがクレシア オンラインショップを休止（8/19公表）8
  10. 2026-08-31
    Eストアーがキングジムに、2022年8月以前の旧ECサイト顧客も対象と連絡（9/4キングジム公表）1517
  11. 2026-09-17
    PFUが旧PFUダイレクト本店の顧客情報漏えいを確認（9/8にEストアーへ照会）。9/18に最大169,355件（注文単位）を公表916
  12. 2026-09-25
    9/25〜28にかけて現行の利用店舗にも追加で対象と連絡（絵具屋三吉9/25連絡・9/26公表、マンズワイン9/28連絡・9/30公表）。対象者の特定は継続中1017
  13. 2026-10-01
    ベネッセハウスオンラインショップが運営を再開。2023年9月まで利用していた店舗が旧ストア顧客は対象外との回答を受けたと公表1017
  14. 2026-10-04
    SINCERE GARDENが、6月末まで利用していた旧ショップサーブの顧客情報が対象と公表（10/4時点）21
  15. 2026-10-05
    北海道ぎょれん（ぎょれん販売）が、2007年7月〜2017年8月に利用していた顧客情報が対象と公表。マガジンハウスもオンラインショップの顧客の氏名・住所・連絡先などの一部漏えいを公表21
  16. 2026-10-06
    当間高原リゾートがショップベルナティオの顧客情報の一部漏えいを公表。Trailhead Global Holdings（山小屋からの贈り物）も顧客・会員情報の一部に影響した可能性を公表21
  17. 2026-10-10
    魚重（ふぐの魚重）がオンラインショップ利用者情報の漏えいを案内21
  18. 2026-10-16
    Eストアーが最終報を公表（BASEも同日案内）。対象者は名寄せした概数で約2,335万6,000人、うちカード情報の一部を含む方は約209万6,900人、対象店舗は現在・過去の利用店舗7,858店。アプリケーションの脆弱性悪用による不正プログラム実行とデータベース情報の外部送信と確定。店舗メールシステム・FTP認証情報と振込先口座情報は対象から除外。二次被害・ダークウェブ流出は未確認。個人情報保護委員会と関東総合通信局に報告書を提出し、警察へ相談192022
  19. 2026-10-01
    北海道ぎょれん（ぎょれん販売）が9/30にEストアーへ問い合わせ、10/1に対象との回答を受けた22
  20. 2026-10-05
    丸八製茶場が追記で、Eストアーから対象者へのメール連絡が9月下旬から始まっていると説明22
  21. 2026-08-07
    中伊豆ワイナリーヒルズ（旧オンラインショップ）が、旧ショップサーブの顧客情報が漏えい対象と判明したと公表22
  22. 2026-08-05
    サンコーマーク工業が、Eストアーから自社顧客の情報が漏えいデータに含まれるとの連絡を受けたと公表22
  23. 2026-08-05
    サンヨウ株式会社（環境スマイル）が、ショップサーブへの不正アクセスに伴う顧客情報漏えいを公表22
  24. 2026-08-04
    滝野川自動車（観音温泉 飲泉ショップ）が、購入者情報が対象と公表（会員ID・パスワードとカード情報は同店では対象外）22
  25. 2026-08-11
    ガウディが、ショップ利用者の情報が対象に含まれることを確認したと公表22

技術解説

攻撃の構造：マルチテナントEC基盤での約72日間の常駐型外部送信 事実

公表された事実は『外部の第三者がショップサーブのサーバー上で不正なプログラムを実行し、購入者情報を外部に送信した』という一点で、期間は2026年5月21日〜8月1日（約72日間）に及ぶ。第1報は8月1日9:09〜11:06頃の約2時間の事象として発表されており、検知した時点の挙動から遡って調べた結果、2カ月以上前から稼働していたことが翌日判明した形である。対象データは購入者・配送先、会員ID/パスワード（暗号化）、カードの一部（先頭6桁・下4桁・名義・有効期限）に加え、店舗の管理画面・メール・FTPの認証情報と振込先口座にまで及ぶ。購入者側と店舗側の双方の情報が一つの侵害で取られている点から、攻撃者は個別店舗ではなくプラットフォーム共通のデータ層に到達していたことになる。侵入経路・脆弱性・プログラムの種類・送信先は2026-10-10時点で非公表である。

第1報から第2報への訂正：『パスワードは含まれない』の撤回 事実

第1報（8/1）は発生時間帯を約2時間、対象を氏名・住所・電話番号等の購入者情報とし、『購入者情報にパスワードは含まれない』、カード名義・番号の一部は『対象に含まれるか調査中』と説明した。利用者への依頼も、なりすまし連絡への注意と、他サービスでのパスワード使い回し回避が中心だった。わずか1日後の第2報（8/2 14時時点）で、対象期間は5/21〜8/1へ拡大、会員ID・パスワード（暗号化管理）、カード情報の一部、店舗の各種認証情報と振込先口座が追加され、利用者への依頼は『会員パスワードの速やかな変更』に変わった。件数（延べ8,853,839件）は両報で同じであり、件数より先に項目の範囲が大きく動いたことになる。なお個人情報保護委員会への報告予定と警察への届出検討は第1報に記載があり、第2報には言及がない。その後Eストアーは第3報を出しておらず、8/6のマイページ認証強化の告知も本件との関係を明示していない。対象店舗は個別連絡で伝えられ、8/31・9/17・9/25〜28と2カ月近くにわたり『追加で対象と判明』する店舗が続いた。一方で、当初『影響あり』と公表した後に対象外へ訂正した店舗（ADVAN STYLISH COLLECTION等）や、確認中から対象外になった店舗（末広、ヤツガタケシゴトニン）もある。

被害が大きくなった理由：解約店舗のデータ残存と共通データ層 解釈

PFUの旧ストアは2025年10月に移行済みだったが2008年12月以降の注文データが、キングジムは2022年8月の移行以前の顧客情報が、マンズワインは2006年からの顧客情報が対象となった。プラットフォームを解約・移行した店舗のデータが長期間削除されずに残っていたことが延べ885万件という母数を押し上げたと考えられる。また購入者情報と店舗の認証情報・振込先口座が同じ侵害で取られている点は、アプリケーションが単一の権限でテナント横断のデータにアクセスできる設計だった可能性を示唆する。店舗によって『カード情報は別サーバーで発生』『攻撃を受けたサーバー群に収容されていない』との説明があることから、サーバー群（シャード）単位でデータが分かれていた可能性もあるが、構成は公表されていない。いずれも推測である。

二次被害のリスク：店舗認証情報とカード一部情報の組み合わせ 解釈

購入者向けには『漏えい情報だけで直ちに財産的被害は生じない』とされ、カード停止・再発行は不要と店舗に伝えられている（巽繊維工業所の告知、piyolog）。確かに先頭6桁・下4桁・有効期限ではカード決済はできないが、氏名・住所・電話・購入履歴と組み合わさると、店舗名やカード会社を装ったフィッシング・SMSの精度が上がる。より深刻なのは店舗側で、管理画面・FTPの認証情報が漏れると、攻撃者が店舗のストアフロントに決済画面改ざん（Webスキミング）を仕込む足場になりうる。Eストアーは管理画面パスワードの一斉リセットではなく『調査結果を踏まえた対応を検討』とし、店舗に変更と二段階認証を推奨するにとどめた。振込先口座情報の漏えいも、Eストアーを装った振込先変更詐欺などに悪用されうる。

公表の構造：プラットフォームが一覧を出さないとき 解釈

Eストアーは対象店舗の一覧・判断基準・実人数を公表せず、購入者への個別通知も8/7以降に店舗名が書かれないケースがあったとされる。このため購入者は自分が対象かを店舗ごとの告知から推測するしかなく、店舗側もEストアーの調査結果待ちで『確認中』の公表が34組織に上った。委託元である店舗は個人情報保護法上の本人通知・報告義務を負う立場でありながら、事実関係を自ら確かめる手段を持たない。SaaS型EC基盤の契約で、事故時のログ提供・対象特定の期限・通知文面の調整を事前に取り決めておかないと、委託元の公表が数カ月にわたり断片化することを示した事例である。

対応

封じ込め
攻撃元からの通信を遮断し、遮断後にアクセスできないことを確認（第1報・第2報）。原因となった脆弱性の対策完了を8/6に利用店舗へ報告（piyolog、店舗告知経由）。8/6に購入者向けマイページのログインシステムを『不正ログイン防止を目的として』強化。購入者には会員パスワード変更・登録情報と注文履歴の確認・使い回しパスワードの変更・多要素認証の利用、店舗には管理画面・店舗メール・FTPのパスワード変更と管理画面の二段階認証設定を要請。管理画面ログインID・パスワードの扱いは『対応方針が決まり次第』案内するとした。再発防止策は『検討中』（『今まで以上に厳重なセキュリティ体制の構築及び強化』）。
公表の仕方
8/1第1報（延べ8,853,839件、購入者情報、パスワード対象外、カード一部は調査中）→8/2第2報（14時時点。期間5/21〜8/1へ拡大、会員PW・カード一部・店舗認証情報・振込先口座を追加）。親会社BASEも同日に第1報・第2報を公表（第2報は詳細をEストアーのサイトに委ねる）、8/5決算短信で業績影響軽微の見込みと記載（piyolog経由）。窓口は購入者向けsupport@estore.co.jp、店舗向けEストアーデスク、報道向けBASEグループ広報。対象店舗一覧は公表せず、利用店舗への個別連絡（8/2、8/31、9/17頃、9/25〜28）と8/7からの購入者個別メール通知で対応。2026-10-10時点で第3報なし。
当局対応
  • 個人情報保護委員会：最終報（2026-10-16）で、関東総合通信局とともに本件の報告書を提出したと記載。利用店舗オカベの8/6告知でもEストアーと連名で報告済みと記載
  • 警察：最終報（2026-10-16）で所轄警察署へ相談していると記載。関東総合通信局にも報告書を提出
  • 利用店舗（委託元）側も個人情報保護委員会への報告を各社で実施・検討（各社告知による。報告状況の一覧は非公表）

教訓と対策

教訓具体的な対策
解約・移行した店舗の顧客データが10年以上残存し、被害母数を押し上げたテナント解約・移行時のデータ削除SLA（例：契約終了後90日で論理削除、180日で物理削除とバックアップ失効）を規約に明記し、削除ジョブの実行ログと削除証明を委託元に発行する。注文データには保持期限カラムを持たせ、期限切れレコードを定期パージする
プラットフォーム共通のデータ層に到達されると、購入者情報と店舗認証情報・口座が同時に取られたテナントごとにDBスキーマ／暗号鍵を分離し（KMSのテナント別鍵、Row Level Security）、店舗の認証情報・口座情報は購入者データとは別ストアに置いて、アプリ実行ユーザーからは参照不可にする。サーバー上のプロセスが大量のテナント横断クエリを発行したらDB監査ログでアラート化する
不正プログラムが約72日間外部送信を続けても検知されなかったアプリサーバーの外向き通信を既知の決済代行・メール配信先のallow-listに限定し、それ以外への送信をプロキシで遮断・記録する。EDRとファイル整合性監視（Webルート・cron・systemdユニットの変更）を全サーバーに配備し、新規プロセスの長時間常駐を検知する
第1報の『パスワード対象外』が翌日撤回され、利用者の行動判断を誤らせた初報では確認済みの事実と未確認範囲を分けて書き、認証情報が同一ストア・同一権限で到達可能な場合は『対象外と確認できていない』と明記して予防的リセットを先に案内する。初報前にDBアクセスログで到達可能だったテーブル一覧を確定させる手順をIRプレイブックに入れる
店舗の管理画面・FTP認証情報の漏えいが、店舗側のWebスキミング等の二次攻撃の足場になりうる漏えい確認時点で店舗管理画面・FTPの全パスワードを強制リセットし、管理画面のTOTP/WebAuthn必須化とFTPの廃止（SFTP＋鍵認証へ移行）を行う。決済ページのスクリプト改変を検知するCSP（report-uri）とSRI、ページ改ざん監視を店舗側に提供する
委託元（店舗）が自社顧客への影響を自ら確認できず、公表が2カ月にわたり断片化したEC基盤の契約に、事故時のテナント別影響範囲（対象レコード件数・項目・期間）を○営業日以内に提供する条項と、委託元が自社データのアクセスログを取得できるAPI/エクスポートを盛り込む。委託元側は利用中・過去に利用したSaaSの台帳と、保存データ項目・保持期間を一覧化しておく

自組織などでの確認項目

  1. あなたの会社が過去に使っていたEC・CRM・フォームなどのSaaSに、解約後も顧客データが残っていないか。削除を確認した証跡はあるか。
  2. 自社がマルチテナント型サービスを提供している場合、1つのアプリサーバーが侵害されたとき、何社分・どのテーブルまで到達できる権限設計になっているか。
  3. 委託先から『影響範囲は調査中』とだけ連絡が来たとき、自社として何日以内に何を顧客へ公表するか。判断材料を委託先から得る契約上の手段はあるか。
  4. 第1報で『パスワードは含まれない』と書くための確認手順を、あなたのチームは持っているか。持っていないなら初報はどう書くべきか。

未解明点

  • 侵入経路と悪用された脆弱性（自社開発部分かOSS/ミドルウェアか、CVEの有無）、不正プログラムの種類と外部送信先・通信方式
  • 5/21以前の侵入の有無と、5/21〜8/1の間に検知できなかった理由（ログ保全範囲、監視体制）
  • 会員パスワードの『暗号化』の具体的方式（可逆暗号かハッシュか、アルゴリズム・ソルト）
  • カード情報の一部と店舗振込先口座の項目別件数、対象店舗数・実人数
  • 店舗管理画面認証情報の悪用（不正ログイン・ストアフロント改ざん）の有無と一斉リセットの実施状況
  • 第3報・調査結果報告の公表予定、個人情報保護委員会・警察への対応の進捗

出典

  1. 1
  2. 2
  3. 3
    購入者向けマイページのログイン認証システム変更のお知らせ
    Eストアー（ショップサーブ）2026-08-06公式本文確認済
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
    Eストアー「ショップサーブ」に不正アクセス（記事見出し未確認・内容要約）
    ネットショップ担当者フォーラム2026-08-05報道本文確認済
  13. 13
  14. 14
  15. 15
  16. 16
  17. 17
  18. 18
  19. 19
  20. 20
  21. 21
  22. 22
  23. 23
    Eストアー「ショップサーブ」 不正アクセスのよるサイバー攻撃、約2,335万人の個人情報漏洩の恐れ
    セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-16報道本文確認済
  24. 24
    Eストアー「ショップサーブ」に不正アクセス、最大885万3,839件の購入者の個人情報漏洩の恐れ
    セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-26報道本文確認済
  25. 25
    PFU、旧EC利用者の個人情報漏えいを確認 ショップサーブ不正アクセスで最大169,355件の注文データが対象
    セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-21報道本文確認済
  26. 26
    キングジム、過去のEC利用者の個人情報漏えいを公表 Eストアー「ショップサーブ」への不正アクセスで
    セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-07報道本文確認済
  27. 27
  28. 28