本文へスキップ
KNOWLEDGE — EC NEWS
ショップサーブに不正アクセス｜EC事業者が今日確認すべきこと
株式会社Eストアーは2026年8月1日と8月2日、同社のECサイト構築サービス「ショップサーブ」のサーバーが外部から不正アクセスを受け、最大8,853,839件の情報が漏えいした可能性があると公表しました。特筆すべきは、購入者の個人情報だけでなく、店舗側の管理画面ID・パスワード、FTPの認証情報、振込先口座情報まで対象に含まれている点です。原因は調査中とされています。この記事では公式発表の要点を整理し、他のカートを使っているEC事業者が今日確認できることを書きます。
Official
公式発表の要点
以下はすべて株式会社Eストアーの公式発表（第1報 2026年8月1日／第2報 2026年8月2日）に記載された内容です。当社の推測は含みません。
| 項目 | 公表内容 |
|---|---|
| 対象サービス | 株式会社Eストアーが提供するECサイト構築・運営支援サービス「ショップサーブ」 |
| 不正アクセスの期間 | 2026年5月21日から8月1日 |
| 公表件数 | 8,853,839件。同社は同一顧客の複数登録データを含む可能性があるとしています（＝実際の対象者数とは異なります） |
| 購入者側の対象情報 | 氏名、住所、電話番号、FAX、メールアドレス、勤務先、会員情報・会員ID・パスワード、クレジットカードの名義・番号の一部（先頭6桁と下4桁）・有効期限 |
| 店舗側の対象情報 | ショップサーブ管理画面のログインID・パスワード、店舗メールシステムのID・パスワード、FTPのID・パスワード、振込先口座情報 |
| 対象に含まれない情報 | 「セキュリティコード（CVV/CVC）は当社では保持しておらず、漏えい対象には含まれておりません」 |
| 原因 | 「当社が提供する『ショップサーブ』のサーバーに対する外部からの不正アクセスが原因」。詳細は調査中 |
| 二次被害 | 「2026年8月2日現在、本件に起因する具体的な二次被害の報告は確認されていません」 |
| 同社の依頼事項 | パスワードの変更、登録情報の確認、他サービスで同じパスワードを使っている場合の安全確認。店舗には管理画面の二段階認証の設定を推奨 |
出典: 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（第2報）」（2026年8月2日）および同「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年8月1日）。報道はITmedia NEWSおよびINTERNET Watch（いずれも2026年8月3日）を確認しました。本記事は2026年8月3日時点の公表内容にもとづいています。
Why It Matters
他のカートを使っていても、他人事にならない理由
EC事業者の情報漏えいというと、通常は「自社の顧客情報が流出した」という形を思い浮かべます。今回はそこにもう一段あります。
漏れたのは顧客の情報だけではありません
公表内容には、店舗側の管理画面のログインID・パスワード、FTPのID・パスワード、振込先口座情報が含まれています。これは「自社の顧客名簿が出た」のとは性質が違います。ECを運営するための鍵そのものと、お金の入り口が対象になったということです。
カートを使う側の事業者にとって、管理画面のIDとパスワードは自社の資産です。ところがその保管はプラットフォーム側にあります。今回の事例は、自社が気をつけていても、預けている側で事故が起きうることを具体的に示しました。どのカートを使っていても同じ構造があります。
パスワードの使い回しが被害を広げます
Eストアー自身が「他サービスで同じパスワードを使っている場合の安全確認」を依頼しています。管理画面のパスワードを他のサービスと共用していれば、影響は今回のサービスの外へ広がります。ECの運営では、カート・広告アカウント・メール配信・決済・分析ツールと管理画面の数が多く、使い回しが起きやすいのが実情です。
振込先口座情報が出ている点に注意が要ります
振込先口座情報が漏えいの対象に含まれています。過去に他社で起きた事例では、口座情報を含む情報が流出したあと、取引先を装って「振込先が変更になりました」と連絡する詐欺が発生しています。今回そうした被害が出ているという公表はありませんが、口座変更の連絡を受けたときに電話で相手に確認するという運用は、今日から決めておける対策です。
Action
今日確認できること
ショップサーブを利用している場合は、まず同社の案内に従ってパスワードを変更してください。以下はそれ以外のカートを使っている事業者が、今日そのまま確認できる項目です。
1. 管理画面の二段階認証が有効になっているか
カート、決済、広告アカウント、メール配信、分析ツール。二段階認証を設定できるのに未設定のものが1つでもあれば、そこから着手します。IDとパスワードだけの状態は、認証情報が流出した時点で守りが無くなります。
2. 同じパスワードを2箇所以上で使っていないか
使い回しの棚卸しは、管理画面の一覧を作るところから始めます。一覧が無い会社が少なくありません。誰がどの管理画面に入れるかを書き出すだけでも、退職者のアカウントが残っている、外注先と共有アカウントを使っている、といった問題が見つかります。
3. FTPやサーバーの認証情報を、いつから変えていないか
FTPの認証情報は、制作時に発行してそのまま何年も変えていないことがあります。過去に関わった外部の制作会社が今も接続できる状態になっていないか、この機会に確認します。使っていないFTPアカウントは止めます。
4. 振込先の変更連絡を、どう確認するか決まっているか
「振込先が変わりました」というメールが来たとき、誰がどうやって真偽を確かめるかを決めておきます。メールへの返信ではなく、既知の電話番号にかけて確認するのが基本です。ルールが無いと、忙しい時期に通ってしまいます。
5. 顧客へ案内する必要が生じた場合の段取り
自社で同種の事故が起きた場合、告知文の作成、問い合わせ窓口の設置、カード会社への連絡と、短時間で多くの判断が要ります。誰が何を決めるかを事前に決めておくだけで、初動の速さが変わります。
Limits
この記事で書かないこと
- 原因の推測を書きません。Eストアーは調査中としており、攻撃の手口や侵入経路は公表されていません。公表されていないことを推測で書けば、それは事実ではなくなります。
- 「ショップサーブは危険だ」とは書きません。不正アクセスはどのサービスにも起こりえます。原因が公表されていない段階で特定のサービスの安全性を断じることは、当社にはできません。
- この事故を理由に他社カートへの移行を勧めません。移行はカートの機能・商材・体制で決めるものです。他社の事故を営業の材料にはしません。
- 件数の解釈に注意しています。8,853,839件は同一顧客の複数登録を含む可能性があると同社が明記しており、実際の対象者数とは異なります。この数字を「885万人が被害」と読み替えることはしません。
続報が公表された場合は、この記事を更新して更新日を明記します。
FAQ
この件に関するよくあるご質問
ショップサーブを使っていなければ関係ありませんか。
直接の被害対象ではありません。ただし今回は購入者情報だけでなく、店舗側の管理画面ID・パスワード、FTPの認証情報、振込先口座情報も漏えいの対象に含まれています。ECの運営で使う認証情報がまとめて外部に出るとどうなるかという事例として、自社の管理権限の持ち方を見直す材料になります。パスワードの使い回しと二段階認証の有無は、どのカートを使っていても今日確認できます。
セキュリティコードが漏れていないなら、カードの不正利用は起きませんか。
Eストアーは「セキュリティコード（CVV/CVC）は当社では保持しておらず、漏えい対象には含まれておりません」と公表しています。ただし氏名・カード名義・カード番号の先頭6桁と下4桁・有効期限が組み合わさると、本人になりすました連絡や、カード会社を装ったフィッシングの材料になり得ます。同社は2026年8月2日時点で具体的な二次被害の報告は確認されていないとしています。
原因は何ですか。
2026年8月3日時点で、Eストアーは「当社が提供する『ショップサーブ』のサーバーに対する外部からの不正アクセスが原因」とし、詳細は調査中としています。攻撃の手口や侵入経路は公表されていません。当社としても、公表されていない原因を推測して書くことはしません。続報が出た時点でこの記事を更新します。
Related