本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
Eストアーは2026年10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスに関する調査を完了し、最終報を公表した。情報漏えいの対象者は約2335万6000人、対象店舗は7858店に上る。サーバー上のアプリケーションの脆弱性が悪用され、データベースの情報が外部へ送信されたとしている。
対象者約2335万人、カード情報の一部も流出
漏えいした情報には、購入者の氏名、住所、電話番号、メールアドレスなどのほか、会員IDや暗号化されたパスワードが含まれる。店舗管理画面のログインID・パスワード、アフィリエイターの登録情報も対象となった。
約2335万6000人は購入者、店舗運営者、アフィリエイターを集計した概数だ。複数の情報を照合して重複を除いているが、一部の重複が残る可能性がある。7858店には、現在の利用店舗だけでなく過去の利用店舗も含まれる。
このうち約209万6900人については、カード名義、カード番号の先頭6桁と下4桁、有効期限も漏えいした。同社は完全なカード番号とセキュリティコードを保持しておらず、今回の漏えい情報だけではカード決済はできないと説明している。
一方、第2報で対象としていた店舗メール・FTPの認証情報と振込先口座情報は、調査の結果、漏えい対象外に訂正された。
5月から情報を外部送信、対策と通知を実施
Eストアーによると、第三者はアプリケーションの脆弱性を悪用し、不正なプログラムでデータベース内の情報を外部へ送信した。期間は2026年5月21日から8月1日まで。同社は8月1日に不正アクセスを認知して攻撃元との通信を遮断し、その後は攻撃が成立していないことを確認したとしている。
脆弱性の修正、認証情報のリセット、二要素認証・二段階認証を含む認証強化などを実施済みだ。対象者への個別連絡は完了したとするが、連絡先が不明な人には公表と問い合わせ窓口の設置で通知を代替している。利用店舗名の確認も同社の窓口で受け付ける。
公表時点で具体的な二次被害の報告はなく、外部専門機関の調査でもダークウェブ上での流出は確認されていないという。同社はカード情報の再入力や再決済、メールなどでのパスワード照会は行わないとして、不審な連絡への注意を呼びかけている。
親会社のBASEも10月16日、同社および関係会社のシステムは今回の対象環境と異なり、本件による情報漏えいは発生していないことを確認したと発表した。
