ネットショップ構築サービス「ショップサーブ」を運営する Eストアーは10月16日、不正アクセスによる個人情報漏えいの最終報を公表し、漏えいの対象を約2,335万6,000人、現在と過去の利用店舗7,858店と確定した。氏名や住所、電話番号などに加え、うち約209万6,900人分はクレジットカード番号の一部と有効期限も含む。
Eストアー 最終報 (2026年10月16日・約23,356,000人・7,858店・対象情報と問い合わせ窓口)ＥＣサイト構築・ネット通販総合支援の【Ｅストアー】 | Ｅストアーのサービスは、自社ECの「繁盛店作り」に必要な全てを取り揃えています。自社EC構築〜グロースハ
買い物をした人が覚えているのはたいてい店の名前で、その店の裏側でどのサービスが動いていたかまでは意識しない。自分が対象かどうかは、買った店の側からたどることになる。
8月の「延べ885万件」から何が変わったか
最終報によると、外部の第三者が5月21日から8月1日まで、同社のサーバーで動くアプリケーションの脆弱性を突いて不正なプログラムを実行し、データベースの情報を外へ送っていた。同社は8月1日に気づいて通信を遮断し、それ以降の攻撃は成立していないとしている。
Eストアーは8月1日に第1報、2日に第2報を出し、その時点の対象を「最大で延べ8,853,839件」としていた。同じ人の複数の登録が含まれうるため、人数を示すものではないという但し書きつきだった。
最終報の約2,335万6,000人は、複数の項目の一致で同じ人をまとめたうえでの人数だ。購入者だけでなく、店舗の運営者とアフィリエイター (商品を紹介して報酬を受け取る登録者) も含む。まとめきれない重複が残るため、これも概数とされている。延べ件数と人数は数え方が違うが、重複を除いた人数が8月の延べ件数を大きく上回った以上、対象の範囲は8月の発表より広がった。
広がった先の一つが、過去の利用店舗だ。最終報は対象店舗に「過去にご利用いただいていた店舗」を含むと明記している。実例として、PFU は9月18日、自社の通販サイト「PFUダイレクト本店」について、2008年12月のショップサーブ導入時から2025年10月31日までの購入者情報が対象だと公表した。何年も前の買い物でも、対象に入りうる。
逆に縮んだものもある。第2報で対象としていた店舗メールシステムと FTP のログイン情報、店舗への振込先口座情報は、調査の結果、対象から外れた。
漏れたもの、漏れていないもの
最終報が挙げる購入者・会員側の情報は次の3種類だ。
- 購入者情報 (配送先を含む): 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意で入力した情報
- 会員情報 (メールマガジン会員を含む): 会員ID、暗号化されたパスワード
- クレジットカード情報の一部: カード名義、番号の先頭6桁と下4桁、有効期限 (約209万6,900人)
完全なカード番号とセキュリティコードは同社が保持しておらず、対象外だ。同社は、漏れた情報だけではカード決済はできないと説明している。パスワードについても、特定される可能性は低く、どの店のログインかを結びつける情報も含まれていないとして、悪用の可能性は低いと判断している。外部の専門機関の調査ではダークウェブへの流出は確認されず、公表時点で二次被害の報告もない。
ただ、名前と住所と電話番号とメールアドレスと勤務先がそろい、人によってはカードの下4桁と有効期限まで加わる。決済には足りなくても、受け取った人を信用させる連絡文を組み立てる材料にはなる。
自分が対象か、確かめる道筋
Eストアーは、対象者への個別の連絡は完了したとしている。連絡先が確認できない人には、今回の公表と問い合わせ窓口の設置で代えるという。確かめる先は3つある。
- 個別の連絡: Eストアーからの連絡が届いていないかを見返す
- 店の名前の確認: 最終報は、利用店舗名の確認を希望する人も窓口へ連絡するよう案内している。窓口はお問い合わせフォーム (冒頭に多い質問と回答を掲載) と support@estore.co.jp
- 店側のお知らせ: 利用店舗が自社サイトで個別に出しているお知らせ
3つ目は、店ごとに中身が違う点で役に立つ。PFUダイレクト本店の場合、購入者情報は対象だった一方、カード情報と会員情報は漏えいしていないことが Eストアーの調査で確認されたとしている。対象の注文データは最大169,355件で、これも人数ではない。全体の数字より、自分が使った店の数字のほうが具体的だ。
手間もかかる。最終報に7,858店の一覧は載っておらず、同社自身も問い合わせへの回答に時間がかかっていると書いている。何年も前に一度だけ買った店まで思い出すのは難しく、確かめきれない人も出るはずだ。
届く連絡をどう見分けるか
Eストアーは、本件でクレジットカード情報の再入力や再決済を求めることはなく、メールや SMS でパスワードを尋ねることもないとしている。同社や金融機関を装ったメール、SMS、電話に注意するよう呼びかけている。
漏れた情報の組み合わせを考えると、届く連絡は本物らしく見えうる。カードの下4桁や勤務先を言い当てられても、それだけでは本物の証拠にならない。どこまで備えるかは人によって違う。カードの利用明細を見る頻度を上げる。ほかのサービスで同じパスワードを使い回していれば変える。個別の連絡と店のお知らせを待つ。どれを選ぶにしても、材料は上の3つの確認先にある。
次に開くのは、Eストアーのお問い合わせフォーム冒頭の質問と回答、そして買った覚えのある店の公式サイトのお知らせ欄だ。PFUダイレクト本店のように、9月以降に店側から個別のお知らせが出ている例がある。
ことば
- ショップサーブ — Eストアーが提供する、ネットショップを作って運営するためのサービス。店はそれぞれ自分の名前で営業し、注文や会員の情報はこのサービスのサーバーで管理されていた。
- 名寄せ — 別々に登録された同じ人のデータを、氏名や連絡先など複数の項目の一致でまとめる作業。最終報の約2,335万6,000人はこの作業後の人数で、8月の延べ件数とは数え方が違う。
- フォレンジック調査 — サーバーやログに残った痕跡を調べ、侵入の経路と期間、持ち出された範囲を確定させる調査。今回は外部の専門機関が行い、完了したとされている。
何年も前に一度だけ買ったネットショップを、あなたはいくつ思い出せるだろうか？
参照
- Eストアー 最終報 (2026年10月16日・約23,356,000人・7,858店・対象情報と問い合わせ窓口)ＥＣサイト構築・ネット通販総合支援の【Ｅストアー】 | Ｅストアーのサービスは、自社ECの「繁盛店作り」に必要な全てを取り揃えています。自社EC構築〜グロースハ
- Eストアー 第2報 (2026年8月2日・延べ8,853,839件)ＥＣサイト構築・ネット通販総合支援の【Ｅストアー】 | Ｅストアーのサービスは、自社ECの「繁盛店作り」に必要な全てを取り揃えています。自社EC構築〜グロースハ
- Eストアー 第1報 (2026年8月1日)ＥＣサイト構築・ネット通販総合支援の【Ｅストアー】 | Ｅストアーのサービスは、自社ECの「繁盛店作り」に必要な全てを取り揃えています。自社EC構築〜グロースハ
PFU お知らせ (PFUダイレクト本店の対象期間と対象情報・2026年9月18日)株式会社PFU
