ショップサーブ不正アクセスで2335万人漏えい クレカ一部含む最終報

BASEの100％子会社であるEストアーは2026年10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスに関する最終調査結果を公表しました。漏えい対象は利用店舗の購入者や運営者など約2335万人にのぼり、一部の購入者についてはクレジットカード情報の一部も含まれていたことが確認されています。

ショップサーブで何が起きていたのか

ショップサーブは、企業が独自ドメインのネットショップを構築・運営するための支援サービスです。サービスを提供するEストアーは、2025年7月にBASEが全株式を取得して完全子会社となっていました。

今回の事案は2026年8月に初期公表が行われ、詳細調査を経て10月16日に最終報として被害の全体像が提示されました。公表された調査結果によると、第三者による不正アクセスは5月21日から8月1日までの約2カ月間以上にわたり行われていたことが判明しています。

侵入の手口としては、Eストアーのサーバ上で稼働していたアプリケーションの脆弱性が悪用されました。攻撃者は不正なプログラムを実行させ、データベース内に保管されていた各種情報を外部サーバへ送信していたと説明されています。同社は8月1日に異常を検知した時点で攻撃元からの通信を遮断し、その後の調査で他の侵害経路やバックドア（不正な裏口）の設置は認められなかったとしています。

漏えいした情報の範囲とクレジットカードの項目

漏えいの対象となったのは、ショップサーブを現在利用している店舗および過去に利用していた店舗を合わせた計7858店舗に関わるデータです。総計約2335万6000人分の中には、一般の購入者や会員に加え、ネットショップの運営責任者やアフィリエイト登録者の情報が含まれます。

流出したデータの内訳は、利用者の立場によって異なっています。購入者側では基本的な配送先情報や認証情報の一部が対象となったほか、200万人を超える規模でカード番号の一部情報が含まれていました。

アカウント不正利用や決済悪用の可能性はあるのか

漏えいしたデータが悪用されるリスクについて、同社は複数の技術的条件を根拠に説明を行っています。

まず購入者のクレジットカード情報については、漏えいした約209万6900人分のデータに含まれていたのは「カード名義」「先頭6桁と下4桁」「有効期限」に限られています。カード番号全体の中間部分やセキュリティコードはシステム側で保持していないため、今回漏えいした情報だけを用いて決済を実行することはできない仕組みです。

また、購入者の会員IDと暗号化されたパスワードについても流出が確認されていますが、流出データ内には会員情報と利用先店舗をひも付ける識別情報が含まれていませんでした。そのため、攻撃者が特定の店舗マイページを割り出して不正ログインを試みる可能性は低いと判断されています。

調査の最終段階において、第2報の段階で流出の懸念が示されていた「店舗メールシステムのID・パスワード」「FTPのID・パスワード」「Eストアーからの振込先口座情報」については、漏えい対象に含まれていなかったことが確認されました。現時点において、ダークウェブ等へのデータ流出や二次被害の発生報告は確認されていないと発表されています。

実施された再発防止策と親会社サービスへの影響

不正アクセス判明後の対応として、Eストアーは悪用された脆弱性の修正と全対象アカウントの認証情報リセットを実施しました。あわせて、アプリケーションおよびサーバ全体の脆弱性診断と認証機能の強化策を講じたと報告しています。

また、親会社であるBASEなどの関係会社が展開するプラットフォームサービスに関しては、ショップサーブとは異なるサーバ環境およびシステム基盤で分離して運用・管理されているため、今回の不正アクセスによる情報漏えいは発生していないとしています。

漏えい対象者に対する個別の連絡手続きは完了していますが、連絡先情報が欠落している顧客に対しては、今回の公式発表および専用窓口の設置を通じて対応を行う方針が示されています。詳細な事実関係や発表内容については、ITmedia NEWSの報道でも整理されています。