ECサイト構築・運営支援サービス「ショップサーブ」を提供する株式会社Eストアーが、サーバーへの不正アクセスにより最大で延べ885万3,839件の情報が漏えいしたと公表した。注目すべきは、8月1日の第1報から翌2日の第2報にかけて、被害の輪郭が大きく書き換わった点にある。当初「約2時間の出来事」とされた侵害は、実際には5月21日から続いていた。さらに、購入者の個人情報だけでなく、出店者側の管理画面やFTP（サーバーとファイルをやり取りする仕組み）のログイン情報、振込先口座情報までが漏えい対象に含まれていた。
一夜で「2時間」から「2か月半」へ
第1報でEストアーが説明した発生概要は、2026年8月1日の9時9分から11時6分頃にかけて、外部の第三者が同社サーバー上で不正なプログラムを実行し、購入者情報を外部へ送信したというものだった。この時点で公表された対象件数は、すでに最大延べ8,853,839件に達していた。
ところが翌8月2日の第2報で、同社は発生期間を「2026年5月21日から8月1日」と訂正している。現在確認できている発生日として5月21日を新たに公表した、という位置づけだ。攻撃者はおよそ2か月半にわたって同社サーバー上で不正なプログラムを実行し、購入者情報を外部へ送信できる状態にあったことになる。8月1日の2時間は、侵害の全体ではなく、最初に検知された断面にすぎなかった。
原因については、第2報の時点でもサーバーに対する外部からの不正アクセスが原因であるとするにとどまり、詳細は引き続き調査中とされている。侵入経路は明らかになっていない。
購入者情報に加え、店舗の「鍵束」も流出した
第2報で漏えい対象として新たに公表された情報は、被害の性質を変えるものだった。
購入者側では、氏名・住所・電話番号・FAX番号・メールアドレス・勤務先などの購入者情報（配送先情報を含む）に加えて、メールマガジン会員を含む会員情報、会員IDとパスワードが対象に加わった。同社では会員IDとパスワードを暗号化された状態で管理しており、現時点では悪用される可能性は低いと判断しているが、それでも利用者に速やかなパスワード変更を求めている。クレジットカード情報についても、カード名義、カード番号の先頭6桁および下4桁、有効期限が漏えい対象に含まれた。セキュリティコード（CVV/CVC）は同社では保持しておらず、漏えい対象に含まれていないとしている。
そして店舗関連情報として挙げられたのが、ショップサーブ管理画面・店舗メールシステム・FTPの各ログインID・パスワード、さらに同社から店舗への振込先口座情報（銀行名、支店名、口座名義、口座番号、銀行コード、支店コード）である。
管理画面とFTPの認証情報は、出店者にとってストアそのものを操作できる鍵にあたる。これが第三者の手に渡った状態は、個人情報が漏れたという段階を超えて、各店舗のサイトが改ざんされたり、決済ページに情報を抜き取るコードを仕込まれたりする土台が整ってしまったことを意味する。Eストアーは店舗に対し、パスワード変更などの対応と、二段階認証の設定を推奨している。
885万件という数字の読み方
8,853,839件という数字は、対象となった人数ではない。同社は「この件数は同一のお客様に関する複数の登録データを含む可能性があるため、対象となるお客様の人数を示すものではありません」と明記している。ショップサーブは多数の店舗が相乗りするプラットフォームであり、同じ人物が複数の店舗で買い物をしていれば、その分だけ登録データは重複して計上される。実際の被害者数はこれより少ないと見るのが自然だ。
とはいえ、件数が延べであることは被害の深刻さを打ち消すものではない。第1報の段階で同社は、個人情報保護委員会へ報告する方針を示し、所轄警察署への届け出も検討中としていた。二次被害については、8月2日時点で本件に起因する具体的な報告は確認されていないという。対応としては、攻撃元からの通信の遮断と、遮断後にアクセスできないことの確認を完了したとしている。
プラットフォーム型サービスの侵害は、被害が二段構えになる
今回の事案が持つ本質的な難しさは、被害者が「購入者」と「出店者」の二層に分かれている点にある。
購入者から見れば、自分が情報を預けた先はあくまで買い物をした個々のショップであり、その裏側でどのプラットフォームが動いているかを意識する機会はほとんどない。そのため、Eストアーという社名で公表されても、自分が当事者だと気づけない人が相当数出る。氏名・住所・電話番号・メールアドレスに加えてカード番号の一部と有効期限まで揃っていれば、「ご注文のカード情報を再入力してください」といった、いかにも本物らしい詐欺メールを組み立てる材料としては十分だ。同社が第1報・第2報を通じて、再決済や本人確認を装う連絡に応じないよう繰り返し呼びかけているのは、そのためである。
出店者から見れば、話はさらに厄介だ。自社では何も落ち度がなくても、利用しているプラットフォーム側の侵害によって、自店の管理画面の認証情報が外部に出てしまった。これは委託先経由のリスク、いわゆるサプライチェーンリスクが具体的な形で現れた例といえる。SaaS（クラウド経由で利用するソフトウェアサービス）やECプラットフォームを使う側にできる備えは限られるが、二段階認証の有効化、管理者アカウントの棚卸し、決済関連の設定変更に対する通知の確認、そしてプラットフォーム事業者からの告知を受け取る窓口を明確にしておくことは、いずれも侵害が起きた後の被害拡大を抑える現実的な手立てになる。
Eストアーは、新たな事実が判明した場合には速やかに報告するとしている。発生期間が第1報から第2報で2時間から2か月半へと広がった経緯を踏まえれば、対象範囲がさらに更新される可能性も想定しておくべきだろう。関係する購入者・出店者は、続報を追い続ける必要がある。
同じ手口に、自社は備えられていますか？