ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスについて、運営元のEストアーが一連の調査を終え、漏えい対象を約2,335万6,000人、対象店舗を7,858店と確定しました。対象者のうち約209万6,900人分には、カード名義やカード番号の一部などが含まれます。
脆弱性を悪用した攻撃は約2カ月続いた
攻撃者は2026年5月21日から8月1日まで、Eストアーのサーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信していました。
Eストアーは8月1日に攻撃を認知し、攻撃元との通信を遮断しました。遮断後は攻撃が成立していないことを確認したとしています。
調査では、確定した経路以外からの侵害や、バックドアなど不正なプログラムの設置は認められませんでした。 Eストアーは、外部の専門機関によるフォレンジック調査も完了したとしています。
購入者の個人情報とカード情報の一部が対象
購入者情報には、氏名、住所、電話番号、FAX番号、メールアドレス、勤務先のほか、利用者が任意に入力した情報が含まれます。会員情報では会員IDと暗号化されたパスワードが対象です。
カード情報が含まれる人は約209万6,900人で、対象はカード名義、カード番号の先頭6桁と下4桁、有効期限です。 Eストアーは完全なカード番号とセキュリティコードを保持しておらず、漏えいした情報だけでは決済できないとしています。
店舗運営者やアフィリエイターでは、ショップサーブ管理画面のログインIDとパスワード、コンビニ払込票に記載された店舗情報、アフィリエイト登録者のメールアドレスとパスワードが対象です。
対象件数を確定し、一部の情報を対象外に変更
漏えい対象は購入者や会員だけでなく、店舗運営者とアフィリエイターも含めた人数です。Eストアーは、複数項目の一致を基準に重複を除いて集計したものの、一致条件に届かない重複が残る可能性があるため、人数は概数としています。
調査の結果、店舗メールシステムとFTPのログイン情報、Eストアーへの振込先口座情報は漏えい対象に含まれないと確認され、最終報告で対象から除外されました。
同社は、悪用された脆弱性の修正、影響範囲の点検、認証情報のリセットを実施しました。対象者と店舗への個別連絡も完了したとしています。
二次被害の報告はなく、不審な連絡への注意を呼びかけ
Eストアーは最終報の公表時点で、本件に起因する具体的な二次被害の報告を確認していないとしています。外部専門機関の調査でも、ダークウェブ上への流出は確認されませんでした。
購入者の会員パスワードは暗号化されており、Eストアーはパスワードが特定される可能性は低いと判断しています。漏えいした情報には、会員情報とログイン先の店舗を結び付ける情報も含まれていないとしています。
同社は、同社や金融機関を装ったメール、SMS、電話に注意するよう呼びかけています。本件に関連してクレジットカード情報の再入力や再決済を求めることはなく、メールやSMSでパスワードを尋ねることもないとしています。
