CyberSecurityAction

日本関連インシデント / 大量情報流出

ショップサーブ不正アクセス、最大885万件の店舗・購入者情報が漏えい

BASE子会社のEストアーが提供するECサイト構築サービス「ショップサーブ」のサーバーが不正アクセスを受け、店舗情報・購入者情報が最大約885万件規模で外部に流出したことが確認されました。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
ショップサーブ不正アクセス、最大885万件の店舗・購入者情報が漏えい

THREAT GAUGE算出基準

IMPACT（影響範囲）9.0
URGENCY（対応緊急度）8.5
EXPLOIT（悪用の容易さ）7.0

“大規模EC基盤への侵害で影響範囲が広く、購入者情報を含むため被害拡大リスクが高い”

01 · Overview

ニュースの概要

BASE株式会社の子会社であるEストアーが運営するECサイト構築・支援サービス「ショップサーブ」のサーバーに外部から不正アクセスが行われ、店舗および購入者の情報が最大約885万件にわたって漏えいしたことが確認されました。両社は2026年8月1日に事実を公表しています。

ショップサーブは、中小〜中堅規模のEC事業者向けにオンラインショップの開設から運営までを支援するサービスです。このような多数の店舗と購入者を束ねるプラットフォームが侵害されると、一つの攻撃で複数事業者・多数の消費者に影響が連鎖するという「サプライチェーン的」な被害拡大が生じます。

今回のインシデントで漏えいしたとされる情報は、出店者（店舗）の情報と、各店舗を通じて商品を購入したエンドユーザーの購入者情報の両方にわたっています。最大件数は約885万件と報告されており、日本国内のEC関連漏えい事件としては大規模な部類に入ります。

漏えいした情報の具体的な項目や攻撃の詳細な手口・侵入経路については、現時点（報道時点）で公開された情報からは確認できていません。引き続き調査が進むにつれ、追加の情報開示が行われる可能性があります。

購入者情報が漏えいした場合、フィッシング詐欺や標的型のなりすましメール、不正利用といった二次被害につながるリスクがあります。該当サービスを利用した経験がある方は、身に覚えのない連絡や請求に十分注意してください。

影響件数（最大）
約885万件
対象サービス
ショップサーブ（Eストアー）
運営会社
株式会社Eストアー（BASE子会社）
漏えい情報
店舗情報・購入者情報
公表日
2026年8月1日

INTERNET Watch（2026年8月3日付）の報道および両社の発表に基づきます。攻撃手口の詳細など一部情報は調査中です。

02 · Analysis

詳細な原因解説

今回の事案は、外部からの「不正アクセス」によってサーバーへの侵入が行われたと説明されています。ただし、現時点の公開情報からは、具体的な侵入手口（脆弱性の悪用、認証情報の窃取、内部の設定ミスなど）は明らかになっていません。一般的に、ECプラットフォームのサーバーへの不正アクセスは、未パッチの脆弱性（修正プログラムが未適用の欠陥）の悪用、管理者アカウントへのパスワードアタック、あるいは委託先・関連サービスを踏み台にした攻撃など複数の経路が考えられます。

被害が店舗側（出店者）と購入者側の双方に及んでいる点は重要です。ECサイト構築支援サービスは、多数の事業者が同一のプラットフォームを共有する構造をとるため、一点突破されると横断的に情報が取り出せる環境になりやすい側面があります。この構造的リスクは、クラウドやSaaSを利用する事業者全般に共通する課題です。

大規模なデータが収集・蓄積されるECプラットフォームは、攻撃者にとって高い価値を持つ標的です。収集された購入者情報は氏名・住所・連絡先・購買履歴などを含む可能性があり、詐欺や不正アクセスへの転用リスクが高まります。プラットフォーム事業者には、データの最小化（必要以上のデータを持たない）やアクセス制御の厳格化が求められます。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Substitute（代替）：データ保管の見直し

個人情報を長期保管する代わりに、より安全な代替手段はあるか？

ECプラットフォームが大量の購入者・店舗情報を集中管理する構造そのものがリスクの根源です。必要最小限のデータのみを保有し、氏名・住所などの個人情報はトークン化（本物のデータを意味のない記号に置き換える技術）や分散保管に切り替えることで、万が一の侵害時の被害範囲を大幅に縮小できます。

Combine（組み合わせ）：認証強化の組み合わせ

複数のセキュリティ手段を組み合わせることで防御を高められないか？

パスワード認証だけでは不正アクセスを防ぎきれないケースが増えています。多要素認証（MFA）＋ゼロトラスト的なアクセス制御（常に正規ユーザーかを検証する考え方）＋異常ログイン検知の組み合わせが、SaaSプラットフォームの標準的な防御として求められます。

Eliminate（削除）：不要データの削除

保持しなくてもよいデータを減らすことで、漏えい時の影響を抑えられないか？

「データは蓄積すればするほど価値がある」という考え方が情報漏えいリスクを高めています。一定期間経過した購入履歴や退会済みユーザーの情報は、法令の保存義務を確認したうえで削除するデータライフサイクル管理を徹底することが、漏えい被害の最小化に直結します。

集中管理の構造的リスク

プラットフォームへの情報集中がなぜ大規模漏えいを招くのか？

多数の店舗と購入者の情報を一元管理するECプラットフォームは、便利さと引き換えに「一点突破されると全データが危険にさらされる」構造を抱えています。このような集中型アーキテクチャでは、攻撃者にとっての「費用対効果」が非常に高くなるため、標的になりやすい傾向があります。設計段階からデータを分散・分離するアーキテクチャの採用が根本的な対策になります。

二次被害の連鎖メカニズム

漏えいした情報はどのように二次被害へと連鎖するか？

購入者情報には氏名・住所・連絡先・購買歴など多様な属性が含まれる可能性があり、これらが組み合わさることでフィッシング、なりすまし、標的型詐欺など多様な二次攻撃の材料になります。また、ダークウェブで情報が転売されると被害が長期にわたって継続するという「遅延型の連鎖」も発生します。

出店者を介した信頼の連鎖

プラットフォームへの信頼低下は出店者・購入者にどう波及するか？

購入者はEストアーではなく各店舗を信頼して購買しており、漏えいが起きると「店舗への不信」が増幅します。被害を直接起こしていない出店者企業まで風評被害を受けるという構造が生まれます。プラットフォーム事業者のセキュリティは、出店者ブランドのリスクとも直結しており、利用前に事業者のセキュリティ基準を確認することが重要です。

EC事業者・購入者が今すぐ取るべき実務対策

出店者側は、まずプラットフォームからの公式連絡を確認し、自社の顧客への二次被害防止策（注意喚起メールの送付など）を検討してください。また、ECプラットフォームとの契約内容にセキュリティ基準（脆弱性診断の実施頻度、インシデント発生時の通知義務など）が明記されているか見直しましょう。

購入者側は、該当サービスで使用していたパスワードを他のサービスでも使い回していないか確認し、使い回しがあれば速やかに変更することが最優先です。フィッシング詐欺への対策として、公式サイトのURLを直接入力する習慣をつけ、メール内のリンクは慎重に扱ってください。

企業の情シス・セキュリティ担当者は、自社が利用するSaaS・クラウドサービス全体のセキュリティ評価を定期的に行うことを推奨します。特に、個人情報を預けているサービスについては、第三者機関の認証取得状況やインシデント対応実績を確認する習慣を持つことが重要です。

06 · AI Prompt

AI対策プロンプト

あなたは中小EC事業者のセキュリティアドバイザーです。ECサイト構築サービス「[サービス名]」が外部からの不正アクセスを受け、最大[漏えい件数]件の[漏えい情報の種類]が漏えいしたインシデントを踏まえ、[業種・規模]の出店者が今後取るべきセキュリティ対策を、優先度順に箇条書きで5つ提案してください。各対策には、実施難易度（低・中・高）とおおよそのコスト感も付記してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

不正アクセスを受けたECプラットフォームの名称

漏えいしたとされる情報の最大件数

漏えいした情報の内容・種別

対策を検討する出店者企業の業種と規模感

特に重点を置いてほしいセキュリティ領域（任意）

キーワード

  • ショップサーブ
  • Eストアー
  • 不正アクセス
  • 個人情報漏えい
  • ECサイトセキュリティ

SOURCES · 参考情報源