1はじめに
2026年8月1日、Eストアーは、同社が運営するECサイトの構築・運営支援サービス「ショップサーブ」のサーバーが外部から不正アクセスを受け、購入者の情報が漏えいしたと発表しました。10月16日に公表した最終報では、漏えいの対象を約2,335万6,000人、対象店舗を7,858店としています。
ショップサーブは、中小の事業者が自社ブランドの通販サイトを開くためのサービスです。Eストアーは1999年に創業し、2025年7月にBASEの完全子会社になりました。ネットショップ担当者フォーラムによると、かつては導入企業約8,000社、流通総額約1,000億円の規模で展開していました。購入者が見ているのは店舗の名前で、その裏で動く基盤の事業者の名前は、ふだん目に入りません。
このレポートは、Eストアーの第1報・第2報・最終報、親会社BASEの発表、影響を受けた店舗の告知、個人情報保護委員会などの公的な資料、報道をもとに、次の問いに答えます。速報の記事はNo.0261にあります。
- 何が、いつ、どの順番で起きたのか
- なぜ、1つのサービスへの侵入が7,858店に及んだのか
- 漏えいした情報は、発表のたびにどう変わったのか
- 侵入経路について、何が公表され、何が公表されていないのか
- 店舗、カード会社、個人情報保護委員会との関係は、ルールの上でどうなっているのか
- 購入者と店舗は、いま何を確かめればよいのか
2026年10月26日までに公開された情報を対象にしました。件数と日付は出典の表記どおりに使い、編集部が計算した値はその旨を記しています。影響を受けた店舗の数は、セキュリティ研究者のブログpiyologの集計（10月2日更新時点）を使いました。これは確認できた範囲の数で、告知を出していない店舗に影響がないことを意味しません。侵入に使われた脆弱性の名前など、Eストアーが公表していないことは「公表されていない」と書き、推測では埋めていません。
2第1報から最終報までの経緯
攻撃は5月21日に始まり、8月1日にEストアーが気づいて通信を遮断するまで続きました。発表は8月1日、2日、10月16日の3回です。その間、Eストアーからの連絡を受けた店舗が、自社の告知を順に出していきました。
- 5月21日不正アクセスが始まる
第三者が、サーバー上で動くアプリケーションの脆弱性を悪用し、不正なプログラムを実行してデータベースの情報を外部へ送り始めた。この日付は第2報で初めて示された。
出典：Eストアー 第2報・最終報 - 8月1日Eストアーが認知し、攻撃元からの通信を遮断
第1報は「2026年8月1日9:09〜11:06頃」に不正なプログラムが実行され、購入者情報が外部に送られたと書いた。漏えいは「最大で延べ8,853,839件」。カード情報が含まれるかは調査中とし、購入者情報にパスワードは含まれないとした。親会社のBASEも同じ日に、Eストアーと「連携体制を構築」したと発表した。
出典：Eストアー 第1報、BASE（8月1日） - 8月2日第2報：期間を5月21日からに広げ、項目を追加
14時時点の情報として、会員ID・パスワード（暗号化）、カード名義と番号の一部・有効期限、店舗の管理画面・メール・FTPの認証情報、Eストアーからの振込先口座情報を漏えいの対象に加えた。件数は8,853,839件のまま。店舗の告知によると、同じ日にEストアーから利用中と過去の利用店舗に連絡があった。連絡が届かなかったとする過去の利用店舗もある（図表6）。
出典：Eストアー 第2報、piyolog - 8月5日BASEが決算短信で言及
中間期の決算短信の「追加情報」で、業績への影響は「軽微であると見込んでおりますが、現在精査中」とした。
出典：piyolog（BASE 決算短信） - 8月6日脆弱性への対策の完了を店舗に報告
店舗の追記によると、Eストアーから「本件の原因となった脆弱性への対策は完了」との報告があった。
出典：piyolog（オカベ、巽繊維工業所の告知） - 8月7日対象の購入者への個別メールを開始
16時から順次。店舗の告知による。
出典：piyolog（巽繊維工業所の告知） - 9月17日〜10月1日過去の利用店舗の顧客も対象と判明
9月8日に照会したPFUは17日に対象と判明。北海道ぎょれんは9月30日に自ら問い合わせ、翌日に対象と回答を受けた。
出典：PFU、北海道ぎょれん - 10月16日最終報：約2,335万6,000人・7,858店
外部の専門機関によるフォレンジック調査が完了したとして、攻撃手法、期間、漏えいの範囲を確定した。名寄せをして人数に集計し直し、店舗のメール・FTPの認証情報と振込先口座を対象から外した。BASEも同日、自社と関係会社のサービスは「本件対象とは完全に異なって」いる環境で運用しており、漏えいはないと発表した。
出典：Eストアー 最終報、BASE（10月16日）
8月1日の第1報は、漏えいの時間を約2時間としていました。翌日の第2報で、それが73日間に変わりました。認知した日に見えていたのは攻撃の最後の部分で、調べると2か月半さかのぼったことになります。
3ショップサーブの仕組みと、情報が集まっていた場所
ショップサーブを使う店舗は、自社のドメインやデザインで通販サイトを開きますが、注文、会員、決済の処理はEストアーのサーバーの上で動きます。購入者が入力した氏名や住所、会員のパスワード、カード情報の一部は、Eストアーのデータベースに置かれます。ショップサーブのサービスサイトは、10月26日時点で「11万社以上の実績」「ショップサーブ 6,000店舗が利用中」と書いています。最終報の対象店舗7,858店には、過去に利用していた店舗も含まれます。
Eストアーの第1報・第2報・最終報をもとにKEYRING編集部が作成。データベースの構成（店舗ごとに分かれているか、サーバーが何台あるか）は公表されていない。対象外とした店舗の告知には「攻撃を受けたサーバー群に収容されていない」とするものがある（piyolog）
店舗の側から見ると、購入者の情報を自社のサーバーに置かずに済むのは、このサービスの利点の1つです。その分、情報の守りは基盤を提供する事業者に集まります。今回は、業種も地域も違う店舗の購入者が対象になりました。
一方で、すべての利用店舗が対象になったわけではありません。piyologによると、12組織が自社は対象外と公表しており、その根拠として「攻撃を受けたサーバー群に収容されていない」「漏えいは特定のデータベースに限定して発生」などを挙げています。Eストアーは、対象と対象外を分ける基準を公表していません。
4漏えいした情報は、発表のたびにどう変わったか
漏えいした情報の項目は、3回の発表で増え、最後に一部が減りました。とくにパスワードの扱いは、第1報と第2報で逆になっています。
| 項目 | 第1報（8月1日） | 第2報（8月2日） | 最終報（10月16日） |
|---|---|---|---|
| 購入者情報配送先を含む | 第1報対象（氏名、住所、電話、FAX、メール、勤務先、任意の入力） | 第2報対象 | 最終報対象 |
| 会員ID・パスワード | 第1報購入者情報に「パスワードは含まれていません」 | 第2報対象。暗号化しており悪用の可能性は低い | 最終報対象。パスワードが特定される可能性は低く、ログイン先の店舗を結びつける情報も含まない |
| カード情報の一部 | 第1報調査中 | 第2報対象（名義、先頭6桁と下4桁、有効期限） | 最終報対象。約2,096,900人 |
| 店舗の管理画面のID・パスワード | 第1報記載なし | 第2報対象 | 最終報対象 |
| 店舗メール・FTPの認証情報 | 第1報記載なし | 第2報対象 | 最終報対象から除外 |
| Eストアーからの振込先口座 | 第1報記載なし | 第2報対象（銀行名〜口座番号） | 最終報対象から除外 |
| コンビニ払込票の店舗情報 | 第1報記載なし | 第2報記載なし | 最終報対象（販売責任者の氏名、店舗名、住所など） |
| アフィリエイト登録者 | 第1報記載なし | 第2報記載なし | 最終報対象（メールアドレス、パスワード） |
| 件数 | 第1報最大で延べ8,853,839件 | 第2報8,853,839件（調査中） | 最終報約23,356,000人・7,858店 |
出典：Eストアー 第1報・第2報・最終報。表の「記載なし」は、その発表に項目の記載がないことを示す
件数は、単位そのものが変わりました。第1報と第2報の8,853,839件は「延べ」の件数で、同じ人の複数の登録を含みうるとされていました。最終報の約2,335万6,000人は、複数の項目の一致で重複を除いた人数です。Eストアーは、一致の基準に満たない重複は除ききれないため概数としています。件数の単位が違うため、延べ885万件から2,335万人へ「増えた」と単純には比べられません。ただ、対象の範囲が当初の見立てより広かったことは、項目の追加と人数の大きさから読み取れます。
出典：Eストアー 第1報・第2報・最終報。第1報と第2報は「延べ件数」（薄い色）、最終報とカードは名寄せ後の「人数」（濃い色）で、単位が異なる。棒の長さは数値に比例させ、表示の値は万未満を四捨五入した
店舗の認証情報が漏れた意味
店舗の管理画面のログインIDとパスワードは、最終報でも漏えいの対象に残りました。管理画面に入れば、その店の受注や顧客の一覧を見られる可能性があります。Eストアーは第2報で、店舗にパスワードの変更と二段階認証の設定を勧め、最終報では「認証情報のリセット等の是正対応を実施済み」とし、再発防止策に「管理画面等の認証の追加強化（二要素認証または二段階認証を含む）」を挙げました。管理画面への不正ログインがあったかどうかについて、最終報に記載はありません。
5侵入経路で分かっていること、分かっていないこと
第1報と第2報は、原因を「ショップサーブのサーバーに対する外部からの不正アクセス」とし、詳細は調査中としていました。最終報で、アプリケーションの脆弱性の悪用という経路が示されました。
| 項目 | 公表されていること |
|---|---|
| 侵入の経路 | 「当社サーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行」。上記以外の経路による侵害は認められなかったとした |
| 脆弱性の名前・種類 | 公表されていない。自社開発の部分か、外部のソフトウェアか、既知の脆弱性かも示されていない |
| 攻撃の期間 | 2026年5月21日から8月1日まで |
| 気づいたきっかけ | 公表されていない（piyologも同様に指摘） |
| バックドアなどの設置 | フォレンジック調査で、設置は認められなかったとした |
| 二次被害 | 具体的な報告は確認されていない。ダークウェブへの流出も確認されていない |
| 対象と対象外を分けた基準 | 公表されていない |
| 再発防止策 | 脆弱性の修正と攻撃経路の遮断、残存する脅威の調査、アプリケーションとサーバーの脆弱性診断と是正、管理画面などの認証の強化 |
| 当局への報告 | 個人情報保護委員会と関東総合通信局へ報告書を提出。所轄警察署へ相談。提出の日付は公表されていない |
出典：Eストアー 第1報・第2報・最終報、piyolog「Eストアーのショップサーブへの不正アクセスについてまとめてみた」
再発防止策には「アプリケーションおよびサーバーに対する脆弱性診断の実施と検出事項の是正」が含まれています。73日間、外部への送信に気づけなかった理由は示されていません。
2026年の秋には、国内で不正アクセスによる漏えいの公表が相次ぎ、JPCERT/CCは10月8日の注意喚起で「さまざまなソフトウェアの既知の脆弱性を探索し攻撃試行するもの」などの攻撃の型を挙げました。ショップサーブへの攻撃はそれより前の5月に始まっており、この注意喚起の対象と同じものかは分かりません。
6店舗の側で起きたこと：委託とサプライチェーン
ショップサーブを使う店舗の多くは、購入者にとっては「いつも買っている店」です。Eストアーからの連絡を受けて、店舗は自社の購入者に向けて告知を出しました。piyologは、10月2日までに64組織の告知を確認しています。そのうち30組織は自社の顧客が対象と断定し、34組織は確認中としていました。
やめた店の購入者も対象になった
影響は、いまショップサーブを使っている店だけにとどまりませんでした。別のシステムに移った店舗や、通販をやめた店舗の購入者も対象になっています。
| 店舗（運営） | ショップサーブの利用期間 | 判明までの経緯 |
|---|---|---|
| 北海道ぎょれん産直ネットショップ | 2007年7月〜2017年8月 | 9月30日に自らEストアーの公表を確認して問い合わせ。それまでEストアーから連絡はなかった。10月1日に対象と回答を受け、10月5日に告知 |
| PFUPFUダイレクト本店 | 2008年12月5日〜2025年10月31日（一部の販売は2026年9月15日まで） | 8月2日にEストアーから連絡。9月8日に照会し、17日に対象と判明。対象となりうる注文データは最大169,355件。PFUの購入者のカード情報と会員ID・パスワードは漏えいしていない |
| シダックス中伊豆ワイナリーヒルズ旧オンラインショップ | 移行前の旧ショップ | 8月7日、旧オンラインショップの利用者の情報が対象と告知 |
| キングジム | 2022年8月以前の利用分 | 9月4日に告知 |
| WITH THE MODERNKIMONO MODERN | 2023年9月まで | 10月1日、旧ストアの顧客情報は対象外とEストアーから回答を受けたと告知 |
出典：北海道ぎょれん（10月5日）、PFU（9月18日）、piyolog（シダックス中伊豆ワイナリーヒルズ、キングジム、WITH THE MODERNの告知を整理）。キングジムの告知は、編集部が直接確認できていない（piyologの整理による）
2017年に利用をやめた店舗の購入者情報が、2026年の攻撃の対象になっていました。どの店舗の、どの時期のデータが残っていたのかについて、Eストアーは基準を示していません。2023年9月まで使っていた店舗の旧ストアは対象外とされており、店舗によって扱いが分かれています。
店舗にとって重いのは、自社の顧客が対象かどうかを、自分では確かめられないことです。告知を出した店舗の多くは「Eストアーで調査中」と書き、購入者への連絡と問い合わせへの対応はEストアーが一元的に行うと案内しました。9月25日になって利用中の店舗にEストアーから対象との連絡が届き、翌日に告知した例もあります（絵具屋三吉の告知、piyologによる）。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-2・3-5-3-5、同委員会のQ&A、piyolog（オカベの告知）をもとにKEYRING編集部が作成。個々の店舗とEストアーの関係が法律上の委託にあたるかの判断は、契約の内容による
店舗の告知の多くは、ショップサーブを「委託先」と書いています。個人情報保護委員会のガイドラインでは、委託先で漏えいが起きた場合、委員会への報告は原則として委託元と委託先の双方の義務で、連名で報告できます。委託先が委託元に事態を通知したときは、委託先の報告義務は免除され、委託元が報告します。オカベは、Eストアーが同社との連名で委員会への報告を行ったと告知しています。7,858店のそれぞれについて、どの形で報告されたかは公表されていません。
7カード情報の一部が持つ意味
約209万6,900人分について、カード名義、カード番号の先頭6桁と下4桁、有効期限が漏えいしました。Eストアーは、完全なカード番号とセキュリティコードを保持しておらず、漏えいした情報だけではカード決済はできないとしています。本件を理由にカードを止めたり作り直したりする必要はない、とも案内しています（店舗の告知による）。
先頭6桁と下4桁は、表示してよい範囲
カード業界のセキュリティ基準PCI DSSは、カード番号を画面などに表示するとき、表示してよい桁を定めています。現行のv4.0.1（2024年6月）は要件3.4.1で「BINと下4桁」まで、改訂前のv3.2.1は要件3.3で「先頭6桁と下4桁」までとしていました。BINはカード番号の先頭にある発行会社の識別番号で、6桁か8桁です。今回漏れた先頭6桁と下4桁は、この範囲に収まります。真ん中の桁が分からないため、番号そのものは復元できません。
注意が要るのは、ほかの情報と組み合わさった場合です。氏名、住所、電話番号、どの店で買ったかと、カードの下4桁と有効期限がそろうと、「ご利用のカード（末尾1234）の再決済のお願い」のような、本物らしく見える連絡を作れます。Eストアーは第1報から、再決済や本人確認を理由にカード情報やパスワードを求められても応じないよう呼びかけています。
割賦販売法と、EC加盟店の脆弱性対策
カード情報を扱うEC事業者には、割賦販売法がセキュリティの対策を義務づけています。その実務上の指針が「クレジットカード・セキュリティガイドライン」です。2025年3月の6.0版で、EC加盟店に「システムやWebサイトの脆弱性対策」の実施が加わり、2026年3月の6.1版も、この対策の着実な実施を求めています。カード番号の全桁を自社で持たない「非保持化」だけでは足りず、通販サイトそのものの脆弱性を塞ぐことが求められるようになりました。ショップサーブの上で店を開く事業者にとって、この対策の多くは基盤の事業者が担う部分です。
8漏えい等報告と、委託先を監督するルール
2022年4月から、個人の権利利益を害するおそれがある漏えいは、個人情報保護委員会への報告と本人への通知が義務になっています。今回の事案は、第三者の不正アクセスによるもので、本人の数も1,000人を大きく超えます。
| 報告が必要な場合 | 例（委員会の資料から） | 今回 |
|---|---|---|
| 1 要配慮個人情報 | 診療情報や健康診断の結果 | 公表された項目には含まれない |
| 2 財産的被害のおそれ | ECサイトからのカード番号を含む個人データの漏えい、決済機能のあるサービスのIDとパスワード | 完全なカード番号は含まれない。該当するかの判断は公表されていない |
| 3 不正の目的のおそれ | 不正アクセスによる漏えい | 該当すると考えられる |
| 4 本人の数が1,000人超 | 設定ミスで1,000人超の情報が閲覧可能に | 約2,335万6,000人 |
出典：個人情報保護委員会「個人データの漏えい等報告について」。速報は速やかに（おおむね発覚から3〜5日以内）、確報は30日以内、不正の目的のおそれがある場合は60日以内。確報の期限は知った日を1日目として数える（ガイドライン通則編3-5-3-4）。8月1日を1日目とすると、60日目は9月29日（編集部が計算）。Eストアーが報告書を提出した日付は公表されていない
確報で報告する項目は、概要、漏えいした項目、本人の数、原因、二次被害、本人への対応、公表、再発防止策などです。最終報の構成は、この項目とほぼ重なります。
個人情報保護法は、個人データの取扱いを委託した事業者に、委託先を「必要かつ適切に監督」することも求めています（第25条）。ショップサーブのような基盤を使う店舗にとって、監督の中身は、契約の前と契約中に何を確かめるかです。今回、利用をやめた店舗の購入者情報が何年も残っていたことは、解約時のデータの扱いを契約で確かめておく必要を示しています。個人情報保護委員会も10月7日の注意喚起で、不要な個人データの消去を求めました。
9共通の基盤が狙われた、ほかの事案
多くの事業者が使う決済や販売の基盤が狙われ、利用する組織の顧客情報が一度に漏れる事案は、以前からありました。
| 年 | 事業者 | 内容 |
|---|---|---|
| 2017年3月 | GMOペイメントゲートウェイ | 運営を受託していた東京都の都税クレジットカードお支払サイトなど2サイトで、Apache Struts 2の脆弱性（CVE-2017-5638）を突かれ、カード番号・有効期限など延べ約72万件が流出した可能性。攻撃の急増を受けて自社システムを洗い出し、発覚した |
| 2026年5月〜8月 | Eストアー | EC基盤のアプリケーションの脆弱性を突かれ、7,858店の約2,335万6,000人分が漏えい。完全なカード番号は保持していなかった |
| 2026年10月同じ時期の例 | ラクスライトクラウド（ブラストメール） | メール配信サービスへの不正アクセスで、配信を委託していた企業の宛先が流出。ピッコマは1,002,404件と公表 |
出典：GMOインターネットグループ（2017年3月10日）、INTERNET Watch（2017年3月13日）、Eストアー 最終報、ピッコマ（2026年10月24日、第1報）
2017年の例は、カード番号の全桁が流出した可能性がある事案でした。今回のショップサーブでは完全なカード番号は保持されておらず、漏えいした情報だけではカード決済はできないとされています。一方で、氏名、住所、購入した店といった情報は、量が多いほど、なりすましの連絡の材料になります。
2026年10月には、国家サイバー統括室、IPA、JPCERT/CC、個人情報保護委員会、経済産業省などが、相次ぐ漏えいを受けて注意喚起を出しました。IPAは、外部に公開しているアプリケーションの精査、利用している外部サービスの洗い出し、保有データの再点検を「速やかに行うべき点検」に挙げ、経済産業省はサプライチェーン全体での対策を求めています。
10影響が広がった5つの理由
店舗ごとに画面は違っても、情報はEストアーのサーバーに置かれていました。アプリケーションの脆弱性を突かれ、業種も地域も違う7,858店（過去の利用店舗を含む）の購入者が対象になりました。
攻撃は5月21日に始まり、気づいたのは8月1日でした。気づいた経緯は公表されていません。認知した日の第1報は約2時間の漏えいとしており、当初は攻撃の一部しか見えていなかったことになります。
2017年に利用を終えた店舗の購入者情報も対象になりました。どの範囲を、なぜ残していたかは公表されていません。
対象かどうかの判断はEストアーの調査を待つしかなく、店舗の告知の時期と内容がばらつきました。過去の利用店舗には、自ら問い合わせるまで連絡が届かなかった例もあります。
期間、項目、件数の単位が3回の発表で変わり、パスワードの扱いは第1報と第2報で逆になりました。店舗の告知の中には、第1報の内容のまま更新されていないものもありました（piyolog）。購入者は、どの情報を前提に身を守ればよいかを判断しにくくなります。
理由の整理は、公開された情報をもとにKEYRING編集部が行ったものです。侵入に使われた脆弱性の詳細が公表されれば、見直します。
11利用者と事業者が取るべき対応
Eストアーと店舗が求めている対応と、公的機関の注意喚起をもとに、立場ごとに並べます。
いますぐ再決済やカード番号の入力を求める連絡に応じない店舗、Eストアー、カード会社を名乗っていても、メールやSMSのリンクから入力しない。Eストアーは本件で、カード情報の再入力や再決済を求めることはないとしている。
いますぐ同じパスワードを使っているサービスを変える店舗の会員パスワードと同じものをほかで使っていれば、そちらを変える。Eストアーはパスワードが特定される可能性は低いとしているが、使い回しをやめることはどの漏えいにも有効。
しばらくの間カードの利用明細を確かめる身に覚えのない請求があれば、カード裏面の番号からカード会社に連絡する。カードの停止や再発行は、本件だけを理由に必要とはされていない。
気になったらどの店で使った情報かを問い合わせる最終報に記載の窓口（フォーム、support@estore.co.jp）は、利用した店舗名の確認にも応じるとしている。
出典：Eストアー 第1報・第2報・最終報、店舗の告知（piyolog）をもとにKEYRING編集部が作成
EC基盤を使う店舗が確かめること
| 確かめること | 今回の事案との関係 |
|---|---|
| 解約後の顧客データの扱い | 削除の時期と方法を契約で決めているか。2017年に利用を終えた店舗の情報が対象になった |
| 漏えい時の連絡 | 現在と過去の利用店舗に、いつ、何を連絡するか。自ら問い合わせるまで連絡がなかった例がある |
| 自社の顧客が対象かを知る方法 | 店舗ごとの対象者を特定して知らせる手順と期限があるか |
| 脆弱性診断と監視 | アプリケーションとサーバーの診断の頻度、外部への不審な送信を検知する仕組み。最終報の再発防止策に診断の実施が入った |
| 管理画面の認証 | 二段階認証を必須にできるか。店舗の管理画面のID・パスワードが漏えいの対象になった |
| 漏えい等報告の分担 | 委員会への報告を連名で行うか、通知を受けて店舗が行うか。購入者への告知の文面を誰が作るか |
出典：Eストアー 最終報、北海道ぎょれん、PFU、個人情報保護委員会のガイドライン、IPA（2026年10月9日）をもとにKEYRING編集部が作成
基盤を提供する事業者の側では、IPAが挙げた点検がそのまま当てはまります。外部に公開しているアプリケーションを精査し、保有データの是非と保管場所を見直し、データへのアクセスの記録と保持期間を見直すことです。JPCERT/CCは、法令や契約で定めた保存期間を過ぎたデータや、利用目的を終えたデータを残さないことも挙げています。
12提言
今回の事案では、購入者が知らない事業者のサーバーに、店をやめた後も情報が残り、そこから漏れました。店舗は顧客との窓口でありながら、状況を自分で確かめられませんでした。この調査から、KEYRINGは次の4つを提言します。
削除の時期を契約に書く。残す場合は、その期間と理由を店舗に示す。削除したことを店舗が確かめられるようにする。
解約後のデータの扱い、漏えい時の連絡の期限、自社の顧客が対象かを知る方法を、契約の前に書面で確かめる。
侵入を防ぐ守りに加えて、データベースから外部への不審な送信に気づく仕組みを持つ。今回は73日間、送信が続いた。
件数の単位や対象の項目が変わる可能性を最初の発表から示し、変わったときは、どこが変わったかを並べて示す。店舗が告知を更新しやすくなる。
提言は、公開された情報をもとにKEYRING編集部が考えたものです。
No.012 2026年10月26日アンビションDXのランサムウェア被害は、なぜ58万件の情報漏えいのおそれに広がったのか→
No.011 2026年10月26日不正アクセスによる「ふるさとチョイス」会員情報445万件の流出で、何が分かり、何が分かっていないのか→
No.010 2026年10月26日リクルート「カーセンサー」の不正アクセスで、何がどこまで漏えいしたのか→
すべての調査レポート（12本）を見る
用語集
- ショップサーブ
- Eストアーが提供する、ECサイトの構築・運営支援サービス。店舗は自社の通販サイトをこの上で動かす
- 脆弱性
- ソフトウェアの設計や作りの欠陥のうち、第三者に悪用されうるもの
- フォレンジック調査
- 記録やデータを解析して、侵入の経路、期間、被害の範囲を確かめる調査
- バックドア
- 侵入した者が、あとで再び入れるように仕掛ける裏口のプログラム
- 名寄せ
- 同じ人の複数の登録を、氏名やメールアドレスなどの一致でまとめること
- PCI DSS
- カード会社の国際ブランドがつくったカード情報保護の基準
- カード情報の非保持化
- 加盟店が自社のシステムでカード番号を保存、処理、通過させないようにすること
- 漏えい等報告
- 個人データの漏えいなどが起きたとき、個人情報保護委員会へ報告し、本人へ通知する義務。2022年4月から
- 委託先の監督
- 個人データの取扱いを任せた事業者が、任せた先の安全管理を確かめる義務（個人情報保護法第25条）
- アフィリエイター
- 商品を紹介して、売れた分の報酬を受け取る人や事業者
参考文献
- Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」2026.10.16
- Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（第2報）」2026.08.02
- Eストアー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」2026.08.01
- Eストアー「プレスルーム」2026.10.26 閲覧
- BASE「当社子会社のEストアーにおける不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」2026.08.01
- BASE「当社子会社のEストアーにおける不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」2026.10.16
- PFU「外部サービスEストアー『ショップサーブ』への不正アクセスに伴う『PFUダイレクト本店』の個人情報漏えいに関するお詫びとお知らせ」2026.09.18
- 産直ネットショップ 北海道ぎょれん「過去に当店が利用していたECサイト構築サービス『ショップサーブ』への不正アクセスに関するお知らせ」2026.10.05
- piyolog「Eストアーのショップサーブへの不正アクセスについてまとめてみた」2026.10.02 更新
- ネットショップ担当者フォーラム「老舗ECプラットフォームのEストアー『ショップサーブ』に不正アクセス、885万件の個人情報が漏えい。店舗関連情報も流出」2026.08.05
- ネットショップ担当者フォーラム「老舗ECプラットフォームのEストアー『ショップサーブ』への不正アクセス、利用店舗7858店で2335万人分の個人情報が漏えい。209万人分はクレカ情報も」2026.10.19
- 朝日新聞「通販サイト利用客など2335万人分が漏洩 運営支援ショップサーブ」2026.10.16
- 個人情報保護委員会「個人データの漏えい等報告について」（リーフレット）2026.10.26 閲覧
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2026.10.26 閲覧
- 個人情報保護委員会 Q&A「委託先において個人データが漏えいしてしまった場合の対応」2026.10.26 閲覧
- 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」2026.10.07
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」2026.10.09
- JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」2026.10.08（10.23 更新）
- piyolog「国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた」（国家サイバー統括室・経済産業省などの注意喚起の一覧）2026.10.11
- 経済産業省「『クレジットカード・セキュリティガイドライン』が改訂されました」2025.03.05
- 日本通信販売協会「『クレジットカード・セキュリティガイドライン【6.1版】』を公表」2026.03.12
- PCI Security Standards Council「Document Library」（PCI DSS v4.0.1、2024年6月）2026.10.26 閲覧
- PCI Security Standards Council「PCI DSS v3.2.1 Quick Reference Guide」（改訂前の版）2026.10.26 閲覧
- Eストアー「伴走型EC構築・運営支援サービスのショップサーブ」2026.10.26 閲覧
- GMOペイメントゲートウェイ「不正アクセスに関するご報告と情報流出のお詫び」2017.03.10
- INTERNET Watch「Apache Struts 2の脆弱性を突かれて不正アクセス、都税支払いサイトなどからクレジットカード情報72万件が流出した可能性」2017.03.13
- ピッコマ「株式会社ラクスライトクラウドのメール配信システム『ブラストメール』への不正アクセスによるお客様のメールアドレス流出に関するお知らせとお詫び（第1報）」2026.10.24
- KEYRING 情報管理速報 No.0261（Eストアー）2026.10.16
このレポートは2026年10月26日時点の公開情報にもとづきます。Eストアーは10月16日の発表を最終報としていますが、新しい情報が公表されれば更新します。店舗の告知は、piyologの整理と、編集部が開いて読んだ告知（PFU、北海道ぎょれん）によります。最終閲覧日はいずれも2026年10月26日です。