2,335万人。「どの店で買ったか」が分からない漏えい

• 対象は約2,335万6,000人、7,858店舗
• 攻撃は5月21日から8月1日まで、約2か月半続いていた
• 買った人はどの店の件か分からない。だから窓口が店ではない

Eストアーが10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスについて最終報を公表した。

件数は、この秋に見てきた中でも最大級になる。ただ、数字より厄介な問題がある。

どの店で買ったか、分からない

ショップサーブは店舗にシステムを提供する側だ。買い物をした人が直接契約しているわけではない。

つまり「自分はショップサーブを使った覚えがない」のに対象になる。使っていたのは、買い物をした店のほうになる。

公式も、この問題を認めた上で窓口を用意している。

ご利用店舗名の確認等をご希望されるお客様につきましても、お手数をおかけいたしますが、下記お問い合わせ窓口までご連絡くださいますようお願いいたします。

「どの店か教えてほしい」という問い合わせを、前提として受け付けている。発表としては珍しい形になる。

同じ構造が続いている

同じ日に公表されたStudioの件でも、フォームに送信された内容が対象になった。あちらは訪問者への案内はサイト運営者からという形だった。

今回は逆で、窓口をEストアーが引き受けている。7,858店舗に分散させず、自社で受ける判断になる。

何が漏れたか

カード情報を含む人は約209万6,900人とされている。

先頭6桁という出方

これまでの各社は「下4桁」だった。今回は先頭6桁も出ている。

先頭の数字はカードの発行元を表す部分になる。つまりどのカード会社のどの種類かが分かる。

公式は完全なカード番号とセキュリティコードは保持しておらず、今回漏えいした情報のみでは決済を行うことはできないとしている。これは正しい。

ただしアエナの件で書いたとおり、漏れた情報は、漏れていない情報を取りに来る材料になる。発行元まで分かれば、そのカード会社を名乗る連絡が作れる。

だから公式の注意書きが効いてくる。

当社から本件に関して、クレジットカード情報の再入力や再決済をお願いすることはございません。

2か月半、続いていた

発生概要にこうある。

2026年5月21日から同年8月1日までの期間において、外部の第三者が、当社サーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースに格納された情報を外部へ送信していたことを確認いたしました。

約2か月半だ。この秋に読んできた他社は、バーガーキングで6日間、ソースネクストで4日だった。桁が違う。

長く続くほど、出ていく量は増える。2,335万人という数は、期間の長さとほぼ対応していると読める。

気づく仕組みの話になる

何度も同じ結論になるが、ここが本質になる。入られることは防ぎきれないが、長く居座られるのは防げる。

外部への送信が2か月半続いていたということは、出ていく通信の異常が見えていなかったということでもある。

最終報で「除外」された項目

注目したいのが、ここになる。

第2報で漏えい対象情報として公表しました「店舗メールシステムのログインID・パスワード、FTPのID・パスワード、当社からのお振込先口座情報」については、調査の結果、漏えい対象に含まれていないことを確認したため、漏えい対象情報から除外いたしました。

続報で範囲が縮んだ例になる。

この数日で両方の例が出ている。ヤマトは縮み、イエローハットは増えた。今回も縮んだ。

第2報の時点でFTPの認証情報まで出たと報じられていたが、最終的には対象外になっている。どの報に基づく情報かで、話がまるごと変わる。

書かれていて良かったこと

最終報として、確認できたことがはっきり書かれている。

• 確定した侵入経路以外の侵害は認められない
• バックドア等の不正なプログラムの設置も認められない
• ダークウェブ上への流出は確認されていない
• 具体的な二次被害の報告は確認されていない
• 個別連絡は完了。連絡先が確認できない人は、本お知らせと窓口で代替

とくに2つ目は重要になる。裏口が残っていないことを明記した発表は多くない。

再発防止策にも管理画面等の認証の追加強化（二要素認証または二段階認証を含む）が入っている。管理画面のログインID・パスワードが漏れている以上、必要な手当てになる。

関係会社については切り分けている

問い合わせが来ているとして、わざわざ節を割いて書いている。関係会社のサービスは異なる環境で運用されており、攻撃対象に含まれず、漏えいは発生していないとのことだ。

聞かれたことに先回りして答えるのは、公表文として良い形になる。

買った側がすること

1. 個別の連絡が来ていたか確認する。すでに完了しているとされている
2. どの店か知りたければ、Eストアーの窓口に問い合わせる。店ではない
3. カード明細を見る。決済はできない情報だが、確認しておく
4. カード会社や通販を名乗る連絡に注意する。再入力や再決済の依頼は偽物
5. パスワードは慌てなくてよい。暗号化されており、店舗を紐付ける情報も含まれていない

5番目について、公式はパスワードが特定される可能性は低く、ログイン先となる店舗を紐付ける情報も含まれていないため、不正アクセスの可能性は低いとしている。鍵が漏れても、どの扉のものか分からないという説明になる。

まとめ

• 対象は約2,335万6,000人、7,858店舗。カード情報を含むのは約209万6,900人
• 攻撃は5月21日から8月1日の約2か月半。出ていく通信が見えていなかった
• カードは先頭6桁と下4桁。完全な番号とセキュリティコードは保持しておらず対象外
• 第2報にあったFTPの認証情報などは、最終報で除外された
• バックドアの設置は認められず、ダークウェブへの流出も確認されていない
• 買った人はどの店の件か分からない。窓口はEストアーが引き受けている
• 再入力や再決済を求める連絡は偽物

出典

• 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）（発生概要と攻撃期間、漏えい対象情報と件数、第2報からの除外項目、二次被害とダークウェブの調査結果、対応状況、再発防止策、利用者への注意喚起、問い合わせ窓口、関係会社への影響）

本記事は2026年10月16日時点で公表されている内容に基づく。公式が最終報と位置づけている発表であり、対象者数は名寄せ後の概数とされている。本記事は法的な助言ではない。