8月の第1報は「最大で延べ885万件」でした。10月16日の最終報が示したのは「約2,335万6,000人」です。Eストアーの「ショップサーブ」への不正アクセスは、数字が大きくなっただけでなく、数え方そのものが変わりました。そのうえで、カード番号の一部が漏れても決済には使えないと言える理由がどこにあるのかを読み解きます。
ECサイト構築サービス「ショップサーブ」を運営するEストアーは2026年10月16日、不正アクセスによる個人情報漏えいの最終報を公表した。2026年5月21日から8月1日まで、外部の第三者がアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部に送信していた。漏えい対象者は購入者、会員、店舗運営者、アフィリエイターを合わせて約2,335万6,000人で、このうちカード名義、カード番号の先頭6桁と下4桁、有効期限を含む人は約209万6,900人である。
対象店舗は過去の利用店舗を含む7,858店。完全なカード番号とセキュリティコードは保持しておらず、漏えいした情報だけでは決済できないとしている。
From: 
不正アクセスによる個人情報漏えいに関するお知らせ（最終報）
【編集部解説】
8月1日の第1報から約2か月半。Eストアーの最終報は、「延べ件数」で始まった公表を、「人数」で締めくくるものでした。
まず、数字の移り変わりを整理しておきます。8月1日の第1報が示したのは、最大で延べ8,853,839件でした。同社はこの時点で、同じ人の複数の登録データを含む可能性があり、人数を示すものではないと断っていました。
最終報の約2,335万6,000人は、これとは単位が違います。複数の項目が一致するものを同じ人として名寄せし、できる限り重複を除いて数えた人数です。さらに、購入者や会員だけでなく、ショップサーブを使う店舗の運営者と、アフィリエイトプログラムの登録者も合わせています。第1報の件数と最終報の人数は、数えている対象も単位も異なるため、単純には比べられません。数字が大きくなった理由は、最終報には書かれていません。
期間の見え方も変わりました。第1報では、不正なプログラムが実行されたのは8月1日の午前9時9分から11時6分ごろとされていました。翌日の第2報で、期間は5月21日から8月1日までと改められ、最終報でもそのとおり確定しています。攻撃は、気づかれるまでの2か月あまり続いていたことになります。
次に、カード情報です。
約209万6,900人については、カード名義、カード番号の先頭6桁と下4桁、有効期限が漏えいしました。一方でEストアーは、完全なカード番号とセキュリティコードを保持していなかったとし、今回漏えいした情報だけでは、クレジットカード決済はできないと説明しています。
カード番号を一部だけ保存することは、保存する情報を減らす方法の一つです。カード業界のセキュリティ基準を定めるPCI SSCも、業務上必要な範囲で番号を切り詰めて保存する形式を示しています。今回、Eストアーは完全な番号とセキュリティコードを保持しておらず、そのために漏えいした情報だけでは決済できないと説明しています。
ただし、番号の一部と有効期限、名義がそろっていると、本物らしく見せかけた連絡には使われえます。最終報も、Eストアーや金融機関を装ったメール、SMS、電話への注意を呼びかけ、カード情報の再入力や再決済を求めることはないとしています。
もう一つ見ておきたいのは、店舗の側です。
対象店舗の7,858店には、いまショップサーブを使っている店舗だけでなく、過去に使っていた店舗も含まれます。たとえばPFUは9月18日、通販サイト「PFUダイレクト本店」の過去の利用者の情報が漏えいしたと公表しました。本店は2025年10月からショップサーブを使っていませんでしたが、移行したあとも、かつての顧客の情報が基盤の側に残っていたことになります。本店とは別の優待販売などでは、2026年9月15日まで同サービスを使っていたとしています。
店舗の情報としては、管理画面のログインIDとパスワード、コンビニ払込票に記載された販売責任者の氏名や店舗の住所なども対象でした。Eストアーは認証情報のリセットなどを済ませたとしています。一方、第2報で対象とした店舗メールシステムやFTPのIDとパスワード、振込先口座情報は、調査の結果、対象から外れました。
最終報は、侵入経路が確定し、それ以外の経路での侵害やバックドアの設置は認められなかったとしています。個人情報保護委員会と関東総合通信局に報告書を出し、警察にも相談しています。漏えい対象者への個別連絡は完了し、連絡先がわからない人には、この公表と問い合わせ窓口で代えるとしています。
利用者の側で気をつけたいのは、自分が対象かどうかを判断しにくい点です。ショップサーブは店舗向けのサービスで、購入者は、利用した店舗がどの基盤サービスを使っていたか把握していない場合もあります。Eストアーは、自分が使った店舗がショップサーブを使っていたかどうかの確認も、問い合わせ窓口で受け付けています。
Eストアーや金融機関、利用した店舗を名乗る連絡で、カード情報の入力や再決済を求められても応じないこと。心当たりのない請求があれば、カードの裏面に書かれたカード会社に連絡すること。第1報から呼びかけられてきたこの2つが、いちばん確かな備えです。
ショップサーブのようなECサービスでは、店舗が自前でサーバーを用意しなくても商売を始められるよう、提供事業者の基盤を利用します。その基盤で起きたことを、件数ではなく人数で、期間と項目と除外まで示して締めくくった今回の最終報は、同じ基盤を使う店舗と、そこで買い物をする人の双方にとって、次の判断を支える材料になるはずです。
【関連記事】
【解説】Studio・コミックシーモア・日本郵便など、10月16〜17日の不正アクセス公表を整理
同じ10月16日に公表されたStudio、コミックシーモア、日本郵便などの不正アクセスを、一次発表に沿って整理した解説記事。
【編集部後記】
PFUの公表には、目を留めたい日付がありました。漏えいの対象は、2008年12月5日にショップサーブを導入したときから、2025年10月31日までに「PFUダイレクト本店」を利用した人の情報だったという日付です。
本店がショップサーブを使わなくなったあとも、17年近い顧客の記録は、基盤の側に残っていました。サービスを乗り換えるとき、前の基盤に預けていた顧客データをどう扱うのか。契約の段階で確かめておくことの重さを、今回の最終報は店舗の側に問いかけているように思えます。
【用語解説】
ショップサーブ
Eストアーが提供するECサイト構築・運営支援サービス。店舗はこの基盤の上に自社の通販サイトを開く。買い物をする人から見えるのは各店舗の名前で、基盤の名前は表に出にくい。
名寄せ
複数の記録のうち、同じ人のものと判断できるものを一つにまとめる作業。氏名や住所など複数の項目の一致を基準にする。基準に満たない重複は残るため、結果は概数になる。
セキュリティコード
クレジットカードの裏面などに印字された3桁または4桁の番号。CVVやCVCとも呼ばれる。オンライン決済で本人確認に使われる。国際的な基準では、決済の承認後に事業者が保存することは認められていない。
アフィリエイター
自分のサイトやSNSで商品を紹介し、そこから購入があった場合に報酬を受け取る人。今回の最終報では、アフィリエイトプログラムの登録者のメールアドレスとパスワードも対象になった。
【参考リンク】
Eストアー（外部）
ECサイト構築・運営支援サービス「ショップサーブ」を運営する企業。BASEの子会社で、10月16日に今回の最終報を公表した。
BASE（外部）
ネットショップ作成サービスなどを運営する企業で、Eストアーの親会社。最終報で、自社と関係会社のサービスに影響はないとした。
PFU（外部）
リコーグループの企業。通販サイト「PFUダイレクト本店」などでショップサーブを利用していた。9月18日に影響を公表した。
【参考記事】
不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（外部）
Eストアー、2026年8月1日の第1報。8月1日の約2時間に購入者情報が送信されたとし、最大で延べ885万件余りとした。
不正アクセスによる個人情報漏えいに関するお知らせ（第2報）（外部）
Eストアー、2026年8月2日の第2報。発生期間を5月21日からと改め、カード情報の一部や店舗の認証情報も対象に加えた。
当社子会社のEストアーにおける不正アクセスによる個人情報漏えいに関するお知らせ（最終報）（外部）
BASE、2026年10月16日。Eストアーの最終報を受け、BASEと関係会社のサービスは攻撃対象に含まれないと説明した。
外部サービスEストアー「ショップサーブ」への不正アクセスに伴う「PFUダイレクト本店」の個人情報漏えいに関するお詫びとお知らせ（外部）
PFU、2026年9月18日。2025年10月に本店をショップサーブから移行したあとも、過去の利用者の情報が漏えいの対象になった。
BASE子会社のEストアー、2335万人の個人情報漏洩 209万人の一部クレカ情報も（外部）
日本経済新聞の記事。最終報の対象者数と、カード情報の一部を含む人数、それだけでは決済に使えないとする同社の説明を伝えている。
