30秒で分かる結論

BASEの子会社であるEストアーは、同社が運営するネット通販サイト構築サービス「ショップサーブ」が外部からの不正アクセスを受け、店舗の購入者に関する情報が外部へ送信されていたと発表しました。2026年8月1日の第一報に続き、2026年8月2日の第2報では、影響のあった期間が2026年5月21日から8月1日までの約2カ月半に及ぶこと、漏えいした情報にクレジットカード情報の一部や、ショップサーブを利用する店舗側の管理画面ID・パスワード、銀行口座情報なども含まれることが明らかになりました。対象となる件数は最大で延べ885万3839件（同一人物の複数登録を含む可能性あり）です。Eストアーは、購入者・店舗の双方に対してパスワードの変更などを呼びかけています。

まず初めに

結論から言う。約2カ月半、誰も気づかなかった。しかも被害の全容は、第一報の後も膨らみ続けた。購入者のカード情報だけでなく、店舗側の銀行口座情報まで持っていかれたとなれば、これはもう「利用者は気をつけましょう」で済む話ではない。プラットフォーム側の監視体制そのものが問われている。

何が起きたのか

Eストアーは、ネットショップを開設・運営するための「ショップサーブ」というサービスを、全国の店舗事業者向けに提供しています。同社の発表によると、2026年8月1日、外部の第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信していることを確認したとして、同日中に第一報を公表しました。

その後の調査で、8月2日に公表された第2報では、実際に不正アクセスが行われていた期間が2026年5月21日から8月1日までの約2カ月半にわたっていたこと、そして漏えいした情報の範囲が当初の発表より広いことが明らかになりました。

漏えいした可能性がある情報には、購入者の氏名・住所・電話番号・FAX番号・メールアドレス・勤務先といった個人情報に加え、会員ID・パスワード（暗号化された状態）、クレジットカードの名義・番号の一部（先頭6桁と下4桁）・有効期限が含まれます。カードのセキュリティコードせきゅりてぃこーど（裏面の3桁の番号）は保存していないため、今回の対象には含まれていないとしています。

さらに、ショップサーブを利用する店舗側の情報として、管理画面のログインID・パスワード、店舗メールシステムのID・パスワード、FTPのID・パスワード、振込先の銀行口座情報も対象に含まれると公表されました。対象件数は、同一人物の複数登録を含む可能性がある延べ件数で最大885万3839件とされています。

a padlock icon broken open above an online shopping cart icon, surrounded by scattered data fragments like envelope and credit card icons, clean flat illustration, no text or logos

なぜ重要なのか

今回の件は、単一の企業やサービスへの不正アクセスにとどまらず、「ショップサーブ」を使って通販サイトを運営している全国の店舗事業者と、そこで買い物をした購入者の双方に影響が及ぶ点が特徴です。約2カ月半という長期間にわたって不正アクセスに気づけなかったこと、そして第一報の時点では分かっていなかった被害範囲が、調査が進むにつれて段階的に拡大したことも、注目すべき点です。

クレジットカード情報の一部や、店舗が使う管理画面・メール・FTPのID/パスワード、銀行口座情報まで対象に含まれていることから、購入者だけでなく、ネットショップを運営する中小の事業者にとっても、直接的な実害につながりかねない内容です。

段階的に拡大する発表をどう受け止めるか

第一報から第2報にかけて被害範囲が広がったことについて、「最初の発表は過小評価だったのでは」と受け取る人もいるかもしれません。しかし、不正アクセスの調査は、侵入経路や影響範囲を正確に特定するまでに一定の時間がかかるのが実情であり、初動で分かっている範囲を先に公表し、調査の進展とともに情報を更新していくこと自体は、必ずしも不誠実な対応とは言えません。重要なのは、更新のたびに利用者が取るべき行動が明確に示されているかどうかです。

私たちへの影響

ショップサーブを利用しているネットショップで過去に商品を購入したことがある人は、Eストアーからの案内を確認してください。クレジットカードの利用明細に見覚えのない請求がないか確認し、心当たりのない場合はカード会社へ相談することが勧められます。また、ショップサーブの会員ID・パスワードを他のサービスと使い回している場合は、それらのサービスのパスワードもあわせて変更することが望ましいです。

ショップサーブでネットショップを運営している事業者は、管理画面・メールシステム・FTPのパスワード変更に加え、振込先口座に不審な出金がないかの確認が必要です。Eストアーからの案内に従って対応してください。

初心者が知っておくべきこと

不正アクセスふせいあくせすとは、他人のシステムやサーバーに、正当な権限なく侵入することです。今回のように、侵入した第三者が保存されている情報を外部へ持ち出す行為は「情報漏えいろうえい」と呼ばれ、企業には個人情報保護法に基づく対応が求められます。

このような大規模な情報漏えいが起きると、漏れた氏名・メールアドレスなどをもとに、本人になりすましたり、関連する企業を装ったりするフィッシング詐欺のメールやSMSが送られてくることがあります。「Eストアー」や「ショップサーブ」を名乗る不審な連絡が届いた場合は、メール本文のリンクを開かず、公式サイトを自分で検索してアクセスするようにしてください。

パスワードを複数のサービスで使い回していると、1つのサービスから漏れた情報が、別のサービスへの不正ログインに悪用されることがあります。心当たりのある人は、この機会にパスワードの使い回しがないかを確認することをおすすめします。

a smartphone showing a suspicious text message notification next to a credit card statement with a magnifying glass icon, clean flat illustration, no text or logos

IT Postの見方

IT Postでは、Eストアーが第一報の公表後も調査を継続し、被害範囲の拡大が判明した段階で速やかに第2報を公表したこと自体は、利用者への情報開示として評価できると考えます。一方で、実際の不正アクセス期間が2026年5月21日から8月1日までの約2カ月半に及んでいたにもかかわらず、発覚まで時間を要した点は、ネットショップ構築サービスのような多数の店舗・購入者の情報を預かる事業者の監視体制のあり方として、引き続き検証が必要だと考えます。

また今回、購入者だけでなく、サービスを利用する店舗側の管理用ID・パスワードや銀行口座情報までもが対象に含まれていたことは、ネットショップを運営する中小事業者が、自らの落ち度がなくても、委託先のプラットフォームの脆弱性によって直接的な被害を受けうることを示しています。中小事業者にとって、取引先のセキュリティ体制を自分たちだけで検証することは難しく、プラットフォーム事業者側の説明責任と再発防止の実効性が問われると考えます。

今後どうなりそうか

Eストアーは、原因究明と再発防止策の実施を進めるとしています。今後、被害の全容がさらに更新される可能性があるほか、対象となった購入者・店舗への個別の通知や、クレジットカード会社との連携状況について、追加の発表が行われるか注目されます。