ネットショップの構築・運営サービス「ショップサーブ」で不正アクセスが発生し、約2,335万6,000人の個人情報が外部に漏えいしたことが、2026年10月16日に明らかになりました。
運営会社のEストアーが公表した最終調査結果によると、対象となったのは7,858店舗の購入者・会員・店舗運営者などで、このうち約209万6,900人についてはクレジットカード情報の一部も流出しています。
ただし、完全なクレジットカード番号やセキュリティコードは流出しておらず、今回漏えいした情報だけでカード決済を行うことはできないと説明されています。
今回注意したいのは、現在ショップサーブを利用しているネットショップだけでなく、過去に利用していた店舗の顧客情報も対象になっていることです。ショップサーブという名前を知らなくても、以前に利用した通販サイトを通じて影響を受けている可能性があります。
この記事では、情報漏えいの対象者と店舗、流出した情報、クレジットカードへの影響、自分が対象か確認する方法、8月の発表から変更された内容を整理します。
ショップサーブの情報漏えいで分かっていること
ショップサーブを運営する株式会社Eストアーは、2026年8月1日に不正アクセスによる個人情報漏えいを公表しました。
その後、外部の専門機関による調査を進め、10月16日に最終報を発表。攻撃の手口や期間、漏えいした情報の範囲が明らかになりました。
今回の事件は、個人情報が流出した可能性があるという段階ではなく、第三者がデータベース内の情報を外部へ送信し、実際に情報が漏えいしたことが確認されています。
| 項目 | 2026年10月17日時点の状況 |
|---|---|
| 対象サービス | ショップサーブ |
| 運営会社 | 株式会社Eストアー |
| 不正アクセスの期間 | 2026年5月21日〜8月1日 |
| 問題の発覚 | 8月1日 |
| 最終報の公表 | 10月16日 |
| 漏えい対象人数 | 約2,335万6,000人 |
| 対象店舗 | 7,858店舗 |
| カード情報の一部が対象 | 約209万6,900人 |
| 完全なカード番号 | 対象外 |
| セキュリティコード | 対象外 |
| 具体的な二次被害 | 確認されていない |
| 攻撃経路 | 特定・遮断済み |
対象人数には、ネットショップの購入者や会員だけでなく、店舗運営者やアフィリエイターも含まれています。
また、可能な範囲で重複を除いて集計していますが、完全な名寄せはできていないため、約2,335万6,000人は概数として公表されています。
10月16日時点では、今回の事件に起因する具体的な二次被害や、ダークウェブ上での情報流出は確認されていません。
ショップサーブとは？利用した覚えがなくても対象になる理由
ショップサーブは、株式会社Eストアーが提供しているネットショップの構築・運営サービスです。企業や販売店が自社の商品をインターネットで販売する際に、通販サイトの管理や注文受付などに利用できる仕組みです。
一般の購入者は「ショップサーブ」というサービス名を意識することなく、商品を販売している企業や店舗の公式通販サイトで買い物をしている場合があります。
例えば、あるメーカーの公式オンラインショップがショップサーブを利用していた場合、購入者はメーカーのサイトで買い物をしたつもりでも、注文に関する個人情報がショップサーブのシステムで管理されている場合があります。
つまり、ショップサーブに直接会員登録した覚えがなくても、過去に利用した通販サイトを通じて情報漏えいの対象になっている可能性があるということです。
今回の対象には、現在ショップサーブを利用している店舗だけでなく、すでに別のシステムに切り替えた店舗も含まれています。
したがって、現在利用している通販サイトがショップサーブを使っていないとしても、過去の購入者情報が保存されていた場合には影響を受ける可能性があります。
対象店舗は7858店｜キングジム・PFUなども影響
Eストアーの最終報によると、今回の情報漏えいの対象となった店舗は7,858店です。
ただし、10月16日の公式発表には7,858店舗すべての名前が分かる一覧は掲載されていません。対象店舗について確認したい場合は、Eストアーの問い合わせ窓口へ連絡するよう案内されています。
一方、今回の不正アクセスを受け、個別に影響を公表した企業もあります。
※上記は個別の公式発表を確認できた一部の企業であり、対象となった7,858店舗の全一覧ではありません。また、各店舗で漏えいした情報の種類や対象期間は異なります。
キングジム：2022年8月以前の利用者情報が対象
キングジムは2026年9月4日、過去に利用していた通販サイト「キングジムストア」と「オフィスオンライン」の顧客情報が漏えいしたことを公表しました。
対象となったのは、2022年8月以前にこれらのサイトを利用した人の氏名・住所・電話番号・メールアドレスなどです。
現在のキングジムストアは2022年8月から別のシステムを利用しており、HITOTOKIストアも開設当初からショップサーブとは異なるシステムで運営されています。キングジムは、現在運用しているECサイトにおける顧客情報の漏えいは確認されていないと説明しています。
また、旧キングジムストアなどの利用者について、クレジットカード情報とログインパスワードの漏えいは確認されていません。
PFU：2008年からの過去の購入者情報も対象
PFUは2026年9月18日、過去に「PFUダイレクト本店」を利用した人の個人情報が漏えいしたことを公表しました。
対象となる期間は2008年12月5日から2025年10月31日までで、アフィリエイトプログラムを利用した一部の販売については2026年9月15日までのデータが含まれます。
対象となる可能性がある注文データは最大16万9,355件ですが、同一人物の複数回の注文も含まれているため、対象人数ではありません。
なお、PFUの発表では、同社の対象データについてクレジットカード情報と会員ID・パスワードは漏えいしていないことが確認されています。
現在のPFUダイレクト本店は2025年10月からショップサーブを利用しておらず、Amazon・楽天市場・Yahoo!の各店舗も別のシステムで運営されています。
日本製紙クレシア：オンラインショップの休止と再開
日本製紙クレシアも、ショップサーブへの不正アクセスを受け、2026年8月19日に「クレシアオンラインショップ」の休止を発表しました。
その後、9月8日にオンラインショップを再開し、利用者にパスワード変更を案内しています。
このように、今回の問題はさまざまな企業の通販サイトに影響しており、利用した店舗によって対応状況も異なります。
過去に買い物をした人も対象？不正アクセスの期間とは別
今回の不正アクセスが行われていたのは、2026年5月21日から8月1日までです。
しかし、これは2026年5月21日から8月1日の間に買い物をした人だけが対象という意味ではありません。
不正アクセスの期間とは、第三者がシステムに侵入して情報を外部へ送信していた期間を指します。一方、漏えいした情報には、その期間より前に通販サイトを利用した人のデータも含まれています。
実際にPFUの発表では、2008年12月からの購入者情報が対象とされています。
そのため、何年も前に一度だけ商品を購入した人や、現在は利用していない通販サイトに会員登録していた人も、対象となっている可能性があります。
ただし、今回の7,858店舗すべてについて、2008年以前からのデータが流出したという意味ではありません。保存されていたデータの期間や内容は店舗ごとに異なります。
また、退会済みの会員情報がどの程度含まれているのかについても、Eストアーの最終報では具体的な内訳が公表されていません。過去に退会したという理由だけで、一律に対象外と判断することはできません。
漏えいした情報は？氏名・住所・パスワードなども対象
Eストアーが10月16日の最終報で公表した漏えい対象情報は、購入者・会員と、店舗運営者・アフィリエイターで異なります。
主な対象情報は以下のとおりです。
- 購入者情報：氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、その他任意入力した情報
- 会員情報：会員ID、暗号化されたパスワード、メールマガジン会員の情報
- クレジットカード情報の一部：カード名義、カード番号の先頭6桁と下4桁、有効期限
- 店舗管理情報：ショップサーブ管理画面のログインID・パスワード
- 店舗情報：コンビニ払込票に記載された販売責任者の氏名、店舗名、住所、電話番号など
- アフィリエイター情報：登録メールアドレス、パスワード
今回の対象には、ネットショップで商品を購入した人だけでなく、店舗を運営していた事業者やアフィリエイトプログラムの登録者も含まれています。
ただし、すべての対象者について、上記の情報が一律に流出したわけではありません。カード情報や会員パスワードなどは、利用していた店舗や登録状況によって対象が異なります。
また、8月の第2報では、店舗メールシステムのログイン情報、FTPのID・パスワード、Eストアーからの振込先口座情報も対象として公表されていました。
しかし、これらについては最終調査で漏えい対象に含まれていないことが確認され、10月16日の最終報で除外されています。
約209万人のカード情報も流出｜不正利用される危険性は？
今回の事件で特に気になるのが、クレジットカード情報への影響です。
Eストアーによると、約2,335万6,000人の対象者のうち、約209万6,900人についてはクレジットカード情報の一部も漏えいしています。
ただし、流出した情報はカード名義、カード番号の一部、有効期限であり、完全なカード番号が流出したわけではありません。
Eストアーは、完全なカード番号とセキュリティコードを保有していなかったため、今回の漏えい対象にも含まれていないと説明しています。
また、今回漏えいした情報だけでは、クレジットカード決済を行うことはできないと明記しています。
したがって、約209万人の完全なカード番号が流出し、その情報だけで不正決済できる状態になったという理解は誤りです。
ただし、カード名義や有効期限などの情報が、氏名・住所・メールアドレスと組み合わされることで、カード会社や金融機関を装った不審な連絡に利用される可能性は考えられます。
例えば、カード情報の確認や再登録が必要だと偽り、別のWebサイトで完全なカード番号やセキュリティコードを入力させようとする手口には注意が必要です。
これは今回の流出情報から考えられる一般的なリスクであり、実際にこのような詐欺が発生したと確認されたわけではありません。
なお、Eストアーは今回の事件に関してクレジットカード情報の再入力や再決済を求めることはないと説明しています。
会員パスワードも流出｜変更する必要はあるのか？
今回の情報漏えいには、ネットショップの会員IDと暗号化されたパスワードも含まれています。
Eストアーは、パスワードが暗号化された状態で保存されていたことに加え、漏えいした情報にはログイン先の店舗を紐付ける情報が含まれていなかったことから、パスワードの悪用や会員マイページへの不正アクセスの可能性は低いと判断しています。
ただし、暗号化されていることは、将来的な悪用の可能性が完全になくなることを意味するものではありません。
8月2日の第2報では、会員パスワードの変更や、他のサービスで同じパスワードを使用している場合の変更が案内されていました。
その後、ショップサーブは8月6日に購入者向けマイページのログイン認証システムを強化しています。この対応に伴い、店舗から購入者全員へ一律にパスワード変更を案内する必要はないとしています。
ただし、過去に発行した仮パスワードをそのまま利用している一部の人については、ログイン時に認証エラーが発生する場合があり、パスワードの再設定が案内されています。
そのため、すべての対象者が必ずパスワードを再設定しなければログインできなくなるというわけではありません。
一方、他のサービスでも同じパスワードを使い回している場合は、念のため変更することをおすすめします。特にメールサービスや通販サイトなど、複数のサービスで共通のパスワードを設定している場合は、それぞれ異なるパスワードに変更しておくと安全性を高められます。
8月の885万件と10月の2335万人は何が違う？
今回の情報漏えいでは、2026年8月2日の第2報と10月16日の最終報で、公表された数字が大きく変わっています。
8月の第2報では漏えい件数は885万3,839件とされていましたが、10月の最終報では対象者数が約2,335万6,000人となりました。
一見すると対象人数が大幅に増えたように見えますが、この2つの数字は同じ基準で集計されたものではありません。
8月2日に公表された885万3,839件には、同じ人物に関する複数の登録データが含まれる可能性があり、Eストアーも対象人数ではないと説明していました。
一方、10月16日の約2,335万6,000人は、購入者や会員に加え、店舗運営者やアフィリエイターも対象として、可能な範囲で重複を除いて集計した人数です。
つまり、8月はデータ件数、10月は調査によって確定した範囲の対象人数を公表しており、集計対象や単位が異なります。
そのため、「885万人から2,335万人に被害者が増えた」と説明するのは適切ではありません。調査が進んだことで、漏えい対象の範囲と集計方法が明確になったと理解するのが正確です。
自分が対象か確認するには？個別通知は完了
Eストアーは10月16日の最終報で、情報漏えいの対象となった購入者・会員・店舗運営者・アフィリエイターへの個別連絡を完了したと発表しています。
ただし、連絡先が確認できず、個別に案内することが難しい人については、公式発表と問い合わせ窓口の設置をもって通知に代えるとしています。
そのため、個別のメールなどが届いていないという理由だけで、自分は対象外だと断定することはできません。
過去に利用した通販サイトがショップサーブを使っていたかどうか分からない場合や、自分の情報が対象になっているか確認したい場合は、Eストアーの専用問い合わせ窓口を利用できます。
今回の最終報には7,858店舗すべての一覧が掲載されていませんが、Eストアーは利用した店舗名の確認についても自社窓口で対応すると案内しています。
なお、氏名やメールアドレスを入力するだけで対象かどうかを自動判定できる専用ページについては、10月16日の公式発表では案内されていません。
一般の購入者・会員・アフィリエイター向け窓口
株式会社Eストアー 個人情報に関するお客様ご相談窓口
メール：support@estore.co.jp
問い合わせフォーム：Eストアー公式最終報から確認
ショップサーブを利用する店舗運営者向け窓口
株式会社Eストアー Eストアーデスク
電話番号：03-6434-0946
受付時間：平日10:00〜18:00
メール：sp@estore.co.jp
一般の購入者向けと店舗運営者向けでは窓口が異なります。公式発表には一般購入者向けの電話番号は掲載されていないため、購入者・会員は問い合わせフォームまたはメールを利用してください。
BASEのネットショップも情報漏えいしたのか？
ショップサーブの運営会社であるEストアーは、ネットショップ作成サービスを展開するBASE株式会社の子会社です。
そのため、BASEを利用して作られたネットショップにも今回の不正アクセスが影響したのではないかと心配する人もいるかもしれません。
この点についてBASEは2026年10月16日、Eストアーの最終報にあわせて公式発表を行っています。
BASEによると、今回攻撃されたのはEストアーが運営するショップサーブのサーバー環境です。BASEと関係会社が提供するサービスは、別のサーバーやシステム環境で運営されています。
そのため、BASEおよび関係会社のサービスは今回の攻撃対象に含まれておらず、今回の事件による情報漏えいは発生していないと説明しています。
つまり、EストアーがBASEの子会社だからといって、BASEで作られたすべてのネットショップが今回の情報漏えいの対象になったわけではありません。
不正アクセスの原因とEストアーの対応
Eストアーの最終報では、今回の不正アクセスの原因についても説明されています。
第三者が、同社のサーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースに格納されていた情報を外部へ送信していました。
攻撃が確認された期間は2026年5月21日から8月1日までで、Eストアーが問題を認知した8月1日に攻撃元からの通信を遮断しています。
その後の調査では、遮断後に同じ攻撃が成立していないことを確認しました。
また、外部専門機関の調査では、今回特定された侵入経路以外の侵害や、攻撃者が後から再び侵入するためのバックドアと呼ばれる不正プログラムの設置も確認されていません。
Eストアーは、悪用された脆弱性の修正、認証情報のリセット、アプリケーションやサーバーの脆弱性診断、管理画面などの二要素認証・二段階認証を含むセキュリティ強化を実施しています。
個人情報保護委員会や関東総合通信局への報告書の提出、警察への相談なども行っています。
ただし、攻撃経路を遮断して再発防止策を実施したことと、すでに外部へ送信された個人情報が回収されたことは別です。
10月16日時点では、今回の情報漏えいに起因する具体的な二次被害や、ダークウェブ上での流出は確認されていません。しかし、今後も漏えいした情報が悪用される可能性には注意する必要があります。
不審なメール・偽サイトに注意｜今後の対応は？
今回の情報漏えいでは、氏名・住所・電話番号・メールアドレスに加え、一部の人についてはクレジットカード情報の一部も外部へ流出しています。
そのため、Eストアーや通販サイト、クレジットカード会社などを装った不審なメール・SMS・電話には注意が必要です。
例えば、カード情報の再登録や本人確認を理由に偽サイトへ誘導し、完全なカード番号やパスワードなどを入力させようとする手口が考えられます。
ただし、今回の流出情報が実際にそのような詐欺に使われた事実は、現時点では確認されていません。
- 身に覚えのないメールやSMSのリンクを安易に開かない
- カード情報の再登録を求められても、公式サイトで案内を確認する
- 同じパスワードを複数のサービスで使っている場合は変更を検討する
- 不審な注文や請求がないか、必要に応じて利用履歴を確認する
- 自分が対象か分からない場合は、Eストアーの公式窓口に問い合わせる
Eストアーは、今回の件でクレジットカード情報の再入力や再決済を求めることはなく、メールやSMSでパスワードを尋ねることもないと説明しています。
なお、10月16日の最終報によって不正アクセスの調査は完了していますが、対象者からの問い合わせには引き続き対応するとしています。
今回の事件は、ショップサーブというネットショップ運営サービスへの不正アクセスによって、過去の通販利用者を含む約2,335万6,000人の個人情報が流出したものです。
完全なカード番号やセキュリティコードは対象外で、具体的な二次被害も確認されていませんが、流出した個人情報が今後どのように利用されるかは分かりません。
以前に利用した通販サイトが対象になっていないか気になる場合は、Eストアーや各店舗の公式発表を確認し、不審な連絡や請求には十分注意してください。
なお、2026年9月末から10月にかけて公表されたほかの不正アクセスや情報漏えいについては、関連記事「2026年9月末～10月の情報漏えいまとめ」でも整理しています。
主な参考資料と確認日
情報確認日：2026年10月17日。Eストアーの8月1日付第1報、8月2日付第2報、10月16日付最終報、および各企業の公式発表を確認しています。対象人数や漏えい項目は最終報を優先しています。具体的な二次被害やダークウェブ上での流出は現時点で確認されていませんが、今後新たな事実が公表される可能性があります。
- Eストアー：不正アクセスによる個人情報漏えいに関するお知らせ（最終報・2026年10月16日）
- Eストアー：不正アクセスによる個人情報漏えいに関するお知らせ（第2報・2026年8月2日）
- ショップサーブ：購入者向けマイページのログイン認証システム変更のお知らせ（2026年8月6日）
- キングジム：ショップサーブへの不正アクセスによる個人情報漏えいに関するお知らせ（2026年9月4日）
- PFU：PFUダイレクト本店の個人情報漏えいに関するお知らせ（2026年9月18日）
- 日本製紙クレシア：クレシアオンラインショップの休止・再開に関するお知らせ
- BASE：子会社Eストアーにおける不正アクセスによる個人情報漏えいに関するお知らせ（最終報・2026年10月16日）
コメント