- ネットショップを作るためのサービス「ショップサーブ」（運営：株式会社Eストアー。BASE株式会社の子会社）が外部から不正アクセスを受け、ショップサーブを使っていた店舗で買い物をした人などの情報が外部に送られていたと、Eストアーが10月16日に最終報で発表しました。
- 漏えいの対象は約23,356,000人、対象店舗は7,858店です。いま使っている店舗だけでなく、過去に使っていた店舗も含みます。このうち約2,096,900人は、クレジットカードの名義、番号の一部（先頭6桁と下4桁）、有効期限も対象です。完全なカード番号とセキュリティコードは持っていないため含まれず、漏れた情報だけではカード決済はできないとしています。
- 不正アクセスは2026年5月21日から8月1日まで続いていました。サーバー上のアプリケーションの脆弱性を悪用して不正なプログラムが動かされ、データベースの情報が外部に送られていました。8月1日に気づいて通信を止めています。
- 店舗側では、ショップサーブの管理画面のログインID・パスワードなども対象です。8月2日の第2報で対象としていた店舗メール・FTPのID・パスワードと振込先口座の情報は、調査の結果、対象外だったと訂正されました。
- 買い物をした人は、Eストアーや店舗、カード会社を名乗る不審なメール・SMS・電話に注意してください。Eストアーは、カード情報の再入力や再決済を頼むこと、パスワードを尋ねることはないとしています。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
この記事は、Eストアーのお知らせ（第1報・第2報・最終報）と、ショップサーブを使っていた店舗が自社サイトに出した告知をもとに、分かっていることと分かっていないことを分けてまとめたものです。最新の状況はEストアーのお知らせで確かめてください。
最新情報（随時更新）
- 10月16日：Eストアーが最終報を出しました。外部の専門機関によるフォレンジック調査が終わり、攻撃の手口・期間・漏えいの範囲が確定したとしています。漏えいの対象は約23,356,000人、対象店舗は7,858店です［Eストアー 最終報］。同じ日に親会社のBASEも、BASEと関係会社のサービスは別の環境で運用していて、情報漏えいは起きていないと発表しました［BASE 10/16］。
- 10月6日：「山小屋からの贈り物」を運営するTrailhead Global Holdingsが告知を出しました［Trailhead Global Holdings］。
- 9月18日：PFUが、過去に運営していた「PFUダイレクト本店」の利用者の情報が漏えいの対象だったと発表しました（注文データ最大169,355件）［PFU］。
何が起きたか
ショップサーブは、会社や個人がネットショップを開くためのサービスです。商品ページや買い物かご、会員登録の仕組みを、Eストアーのサーバーでまとめて動かします。そのため、提供元のサーバーで問題が起きると、そのサービスを使う多くの店舗に同時に影響が出ます。
最終報によると、2026年5月21日から8月1日までの間、外部の第三者がEストアーのサーバー上で動くアプリケーションの脆弱性を悪用して不正なプログラムを動かし、データベースに入っていた情報を外部へ送っていました。Eストアーは8月1日に気づき、その日のうちに攻撃元からの通信を止めました。それ以降は攻撃が成り立っていないこと、この経路以外の侵入や、バックドア（後から入り直すための仕掛け）などの設置はなかったことを確かめたとしています［Eストアー 最終報］。
どのアプリケーションの、どんな脆弱性だったのかは書かれていません。
時系列
| 日時 | できごと | 出典 |
|---|---|---|
| 2026年5月21日〜8月1日 | 外部の第三者が、アプリケーションの脆弱性を悪用して不正なプログラムを動かし、データベースの情報を外部へ送っていた | 最終報 |
| 8月1日 | Eストアーが気づき、攻撃元からの通信を止めた。第1報を出し、最大で延べ8,853,839件の個人情報が漏えいしたと発表（第1報では、漏えいは8月1日 9:09〜11:06ごろとしていた） | 第1報 |
| 8月2日 | 第2報。発生の始まりを5月21日とし、会員情報（会員ID・パスワード）、カード情報の一部、店舗側の情報（管理画面・店舗メール・FTPのID・パスワード、振込先口座）を対象に加えた | 第2報 |
| 8月3日〜 | 利用店舗が自社サイトで告知を出し始めた（店舗の告知） | 各店舗 |
| 10月16日 | 最終報。調査が終わり、対象は約23,356,000人・7,858店と確定。店舗メール・FTPのID・パスワードと振込先口座は対象外と訂正。対象者への個別の連絡は終わったとした | 最終報 |
第1報の「8月1日 9:09〜11:06ごろ」という時間は、第2報以降で「5月21日から8月1日」に改められています。件数も、第1報・第2報の「延べ8,853,839件」（同じ人の重複を含む件数）から、最終報では重複をできるだけ除いた人数に変わりました。
漏れた情報と件数
10月16日の最終報に書かれた内容です［Eストアー 最終報］。
| 対象 | 漏れた情報 |
|---|---|
| 購入者（配送先を含む） | 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、そのほか購入者が自分で入力した情報 |
| 会員（メールマガジン会員を含む） | 会員ID、暗号化されたパスワード。Eストアーは、パスワードが割り出される可能性は低く、どの店舗のログインかを結びつける情報も含まれていないため、悪用や会員マイページへの不正アクセスの可能性は低いと判断している |
| クレジットカード（一部の人） | カード名義、カード番号の一部（先頭6桁と下4桁）、有効期限。完全なカード番号とセキュリティコード（CVV/CVC）は持っておらず含まれない。漏れた情報だけではカード決済はできないとしている |
| 店舗 | ショップサーブの管理画面のログインID・パスワード。コンビニ払込票に載っていた店舗の情報（販売責任者の氏名、店舗名、郵便番号、住所、電話番号、FAX番号） |
| アフィリエイター | アフィリエイトプログラムに登録した人のメールアドレス、パスワード |
| 項目 | 最終報の内容 |
|---|---|
| 漏えいの対象者数 | 約23,356,000人（購入者・会員、店舗の運営者、アフィリエイターの合計。複数の項目が一致するものを名寄せして重複をできるだけ除いた概数） |
| うちカード情報の一部を含む人 | 約2,096,900人 |
| 対象店舗 | 7,858店（いま使っている店舗と、過去に使っていた店舗） |
| 対象外と分かったもの | 店舗メールシステムのログインID・パスワード、FTPのID・パスワード、Eストアーからの振込先口座の情報（第2報では対象としていた） |
| 二次被害 | 最終報の時点で、具体的な二次被害の報告は確認されていない。外部の専門機関の調査で、ダークウェブへの流出も確認されていない |
| 対象者への連絡 | 個別の連絡は終わった。連絡先が分からない人には、お知らせの公表と問い合わせ窓口の設置で代えるとしている |
| 届け出 | 個人情報保護委員会と関東総合通信局に報告書を出し、所轄の警察署にも相談している |
影響を発表した店舗
ショップサーブを使っていた店舗のうち、この記事で自社サイトの告知の本文を確かめたものです。どの店舗も、件数や対象の範囲はEストアーからの報告をもとにしています。告知の時期によって、Eストアーの第2報の内容（のちに一部が対象外と訂正されたもの）を引いている場合があります。
| 店舗（対象のサービス） | 公表日 | 告知の内容 | 出典 |
|---|---|---|---|
| デザインフィル（ミドリオンラインストア、タッチアンドフロー オンラインショップ） | 8月3日 | お客さまの個人情報の一部が外部へ漏えいしたことが判明したと告知。漏えいした情報としてEストアーの第2報の項目（氏名・住所・電話番号・メールアドレス、会員ID・パスワード、カード名義・番号の一部・有効期限など）を挙げ、マイページでのパスワード変更と、同じID・パスワードを使うほかのサービスの変更を呼びかけ | 公式 |
| 日本製紙クレシア（クレシア オンラインショップ） | 8月19日 | お客様の情報が漏えいの対象に含まれる可能性があり、対象の範囲を確認中と告知。8月7日から、漏えいの可能性があるお客様に案内メールを送っている。オンラインショップは休止中。8月18日時点で二次被害は確認されていない | 公式（PDF） |
| PFU（PFUダイレクト本店。2025年10月までショップサーブを利用） | 9月18日 | 2008年12月5日〜2025年10月31日に「PFUダイレクト本店」を使った人の情報が漏えいの対象と9月17日に判明。対象の可能性がある注文データは最大169,355件（同じ人の複数回の注文を含む）。漏えいしたのは氏名・住所・電話番号・FAX番号・メールアドレス・勤務先など。カード情報と会員ID・パスワードは、PFUダイレクト本店の利用者については漏えいしていないとEストアーの調査で確認された | 公式 |
| Trailhead Global Holdings（山小屋からの贈り物 ～九州筑豊ラーメン～） | 10月6日 | 一部の会員情報やお客様情報が対象になった可能性があると告知。対象の可能性があるのは氏名・住所、電話番号・FAX番号、勤務先、メールアドレスなど。カード情報は対象に含まれないことを確認したとしている。念のためマイページでのパスワード変更を呼びかけ | 公式 |
| ベノアオンラインショップ（スコーン・紅茶の通販） | 日付の記載なし | 一部のお客様情報が漏えいした可能性があるとEストアーから報告を受けたと告知。可能性がある情報として氏名・住所・電話番号・メールアドレス・配送先情報・会員情報（会員ID・パスワード）を挙げ、カード情報は該当しないとの報告を受けたとしている | 公式 |
報道では、キングジムも過去のEC利用者の情報が対象になったと発表したと伝えられています。ただ、10月26日の確認時点ではキングジムのコーポレートサイトが緊急メンテナンス中で、告知の本文を開けませんでした（未確認）。
Eストアーは、自分が使った店舗が対象かどうかを確かめたい場合も、Eストアーの窓口に問い合わせるよう案内しています。店舗の告知でも、対象かどうかは店舗では答えられないとしているものがあります。
ショップサーブのお店で買い物をした人がやること
ショップサーブで作られたネットショップは、見た目では分かりにくいことが多く、「自分が使った店がショップサーブだったか」はすぐには分かりません。対象には過去にショップサーブを使っていて、いまは別のシステムに移った店舗も含まれます。何年も前の買い物でも、対象になっている可能性があります。
1. 不審なメール・SMS・電話に注意する
漏れた情報には、氏名、住所、電話番号、メールアドレスが含まれます。これらを使えば、名前入りの本物らしい連絡を送ることができます。Eストアーは第1報から、Eストアーや店舗、カード会社を装った連絡に注意するよう呼びかけています。
- 「再決済が必要です」「返金の手続きをしてください」「本人確認のため」「アカウントの確認」などの理由で、リンク先にカード情報やパスワードを入れるよう求められても応じないでください。
- Eストアーは、この件でカード情報の再入力や再決済を頼むことはなく、メールやSMSでパスワードを尋ねることもないとしています。
- 連絡の中のリンクや添付ファイルは開かず、お店やEストアーの公式サイトを自分で開いて確かめます。
約2,096,900人は、カード名義と番号の一部、有効期限も対象です。Eストアーは、これだけではカード決済はできないとしています。ただ、番号の一部と有効期限が書かれた連絡は本物らしく見えます。「お使いのカード（下4桁 ○○○○）に不正利用の疑いがあります」といった連絡が来ても、そこに書かれた番号やリンクは使わず、カードの裏面に書かれたカード会社の番号に自分で電話してください。
2. カードの利用明細を確かめる
カード会社のWebサイトやアプリで、身に覚えのない請求がないかを確かめます。見つけたら、カードの裏面の番号からカード会社に連絡します。不審なサイトにカード番号を入れてしまった場合も同じです（Eストアー第1報の案内）。
3. 同じパスワードを使い回しているなら変える
会員のパスワードは暗号化して保存されていて、Eストアーは悪用の可能性は低いとしています。それでも第2報では、会員IDとパスワード、メールアドレスが漏えいしたことから、同じか似たパスワードを使っているほかのサービスのパスワードを変えるよう求めています。サービスごとに別の、推測されにくいパスワードにし、使える場合は多要素認証（ログイン時にコードなどでも確認する仕組み）を有効にしてください。
買い物をしたお店にいまも会員登録がある場合は、そのお店のマイページでパスワードを変え、登録情報や注文履歴に覚えのない変更がないかも見ておくと安心です（第2報や店舗の告知の案内）。
問い合わせ先
購入者・会員の問い合わせは、Eストアーの「個人情報に関するお客様ご相談窓口」（メール：[email protected]。最終報のページにお問い合わせフォームもあります）です。自分の情報が対象か、どの店舗が対象かの確認も、この窓口が受けるとしています。
ショップサーブを使っている（使っていた）店舗がやること
Eストアーは最終報で、悪用された脆弱性の修正、影響の範囲の点検、認証情報のリセットなどの対応を済ませたとしています。再発防止策として、管理画面などの認証の強化（二要素認証・二段階認証を含む）も挙げています。
8月2日の第2報では、店舗に次のことをお願いしていました。
- ショップサーブの管理画面、メールシステム、FTPを使っている店舗は、パスワードの変更などの対応をする
- 管理画面への第三者の不正ログインを防ぐため、二段階認証を設定する
- お客様から問い合わせや被害の申し出があったら、Eストアーの窓口に連絡する
最終報では店舗メール・FTPのID・パスワードは対象外と訂正されましたが、管理画面のログインID・パスワードは対象のままです。以下は、この記事からの一般的な点検の観点で、Eストアーの指示ではありません。
- 管理画面のパスワードを、ほかのサービスでも使っていないか：同じパスワードをメール、レンタルサーバー、ほかのモールの管理画面などで使っている場合は、そちらも変えます。
- 過去に使っていた店舗も対象：いまは別のシステムに移っていても、当時の購入者の情報が対象になっている場合があります（PFUの告知がその例です）。Eストアーからの連絡を確かめ、分からない点は店舗向けの窓口（Eストアーデスク 電話：03-6434-0946、平日10:00〜18:00／メール：[email protected]）に問い合わせます。
- お客様への案内：お客様に知らせるときは、メールにリンクや入力欄を入れず、「公式サイトの告知と照合してほしい」「カード番号やパスワードをメールで尋ねることはない」と書いておくと、偽の連絡と区別しやすくなります。
自社のWebサイトやサーバーに侵入の跡がないかの確かめ方は「乗っ取られていないか確かめる侵害チェックの方法」にまとめています。
PHPとの関係
このサイトでは、10月21日夜に修正版が出たPHPの脆弱性「php2shell」を追っています。ショップサーブの件について、Eストアーの発表から分かることは次のとおりです。
- 原因は「当社サーバー上で稼働するアプリケーションの脆弱性」と書かれていて、PHPとは書かれていません。
- 不正アクセスは5月21日〜8月1日で、php2shellの修正版が出るより前に止められています。
どのソフトウェアの脆弱性だったのかは発表されていないため、この記事でも推測で原因を書くことはしません。
よくある質問
自分が使ったお店がショップサーブだったか分かりません。
Eストアーは、自分が使った店舗が対象かどうかの確認も、購入者向けの窓口（[email protected]・お問い合わせフォーム）で受けるとしています。対象者への個別の連絡は終わったとされているので、Eストアーや店舗からの連絡が届いていないかも確かめてください。届いた連絡が本物かどうかは、連絡の中のリンクではなく、Eストアーの公式サイトのお知らせと照らし合わせます。
約2,335万人というのは、購入者だけの人数ですか？
いいえ。最終報では、購入者・会員、店舗の運営者、アフィリエイターを合わせた人数で、名寄せをして重複をできるだけ除いた概数としています。8月の「延べ8,853,839件」は同じ人の重複を含む件数で、数え方が違います。
カードは止めたほうがいいですか？
Eストアーは、漏れたのはカード名義、番号の先頭6桁と下4桁、有効期限で、完全な番号とセキュリティコードは含まれないため、これだけではカード決済はできないとしています。利用明細に覚えのない請求がないかを確かめ、心配なときや不審なサイトにカード番号を入れてしまったときは、カードの裏面の番号からカード会社に相談してください。
BASEのお店で買い物をした場合も対象ですか？
親会社のBASEは10月16日、BASEと関係会社のサービスは今回の対象とは別のサーバー・システムで運用していて、情報漏えいは起きていないことを確認したと発表しています［BASE 10/16］。
8月に発表された件なのに、なぜいま記事にしたのですか？
10月16日に最終報が出て、件数と範囲が大きく変わったためです。この記事は最終報の内容を中心にまとめています。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。ショップサーブのアカウントや個別の漏えい状況については、Eストアーの窓口にお問い合わせください。相談はこちら
参考にした情報
- 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）
- 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（第2報）」（2026年8月2日）
- 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年8月1日）
- ショップサーブ「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年8月1日）
- BASE株式会社「当社子会社のEストアーにおける不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）
- 株式会社デザインフィル「サーバーへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（2026年8月3日）
- 日本製紙クレシア株式会社「システム提供元(株式会社Eストアー)への不正アクセスに伴う個人情報漏えいの可能性に関するクレシア オンラインショップ休止のお知らせ」（2026年8月19日、PDF）
- 株式会社PFU「外部サービスEストアー「ショップサーブ」への不正アクセスに伴う「PFUダイレクト本店」の個人情報漏えいに関するお詫びとお知らせ」（2026年9月18日）
- Trailhead Global Holdings株式会社「外部サービス「ショップサーブ」への不正アクセスに関するお詫びとご注意のお願い」（2026年10月6日）
- ベノアオンラインショップ「【重要】Eストアー「ショップサーブ」における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」
