【10/16】ショップサーブ情報漏えい2335万人｜カード209万人分と2026年の急増

ネットショップ構築サービス「ショップサーブ」を運営するEストアーは2026年10月16日、不正アクセスによる個人情報漏えいの最終報を公表しました。漏えいの対象は約2,335万6,000人で、そのうち約209万6,900人分にはクレジットカード情報の一部が含まれていました。8月1日の第1報では「最大885万3,839件」とされていた事案で、調査を終えた最終報で対象の人数が確定した形です。

ショップサーブは7,858店舗のネットショップの裏側で使われていたため、自分が買い物をした店がショップサーブを使っていたと知らないまま対象になっていることがあります。この記事では、Eストアーの最終報をもとに何が漏れたか、自分が対象かの確かめ方と今やることを先に整理し、そのうえで2026年に大規模な漏えいが相次いでいる理由を民間の集計から見ていきます（2026年10月17日時点）。

ショップサーブの情報漏えいは何人分か

Eストアーの最終報では、漏えいの対象は約2,335万6,000人、対象の店舗は7,858店です。

この人数は、ショップサーブで買い物をした購入者、ショップサーブを使って店を運営していた店舗運営者、アフィリエイトに登録していた人を合わせたものです。同じ人が複数の店で買い物をしている場合に二重に数えないよう、Eストアーは一致基準を決めて名寄せ（同じ人の記録をまとめる作業）をしたうえで数えています。そのため人数は概数で、同社も「概数」と明記しています。

第1報の885万件から2,335万人に変わった理由

第1報の数字は「最大延べ885万3,839件」で、最終報の「約2,335万6,000人」とは数え方も対象も違います。

8月1日の第1報は調査の途中で出した最大値で、単位は「件」でした。最終報は外部の調査を終えたあとの数字で、単位は「人」です。対象には購入者だけでなく店舗運営者とアフィリエイターも入っています。最終報は第1報からの増え方の内訳を示していないため、「885万件が2,335万人に膨らんだ」と単純に比べることはできません。確かなのは、調査を終えた時点の対象が約2,335万6,000人だという点です。

BASEの子会社が運営するEC構築サービス

Eストアーは、ネットショップ作成サービスを手がけるBASEの子会社です。

ショップサーブは、企業や個人が自分のネットショップを開くための構築・運営支援サービスで、パソコン周辺機器のPFUやハリマ食品など、現在または過去に自社の通販サイトで使っていた企業が、8月以降、それぞれの利用者に向けて漏えいの可能性を知らせています。Eストアーは、関係会社のサービスは別の環境で動いており、今回の事案の対象外だと説明しています。

漏れた情報と漏れていない情報

購入者・会員の情報、カード情報の一部、店舗やアフィリエイターの認証情報が対象で、カード全桁とセキュリティコードは対象外です。

最終報に書かれた項目を、対象者の区分ごとに表にまとめます。

表のとおり、カード番号は先頭6桁と下4桁だけで、真ん中の桁は含まれていません。

カード番号の全桁とセキュリティコードは含まれない

Eストアーはカード番号の全桁とセキュリティコードを持っておらず、漏えいの対象にも入っていません。

同社は、漏えいした情報だけではカード決済はできないと説明しています。ただし、名義と番号の一部と有効期限がそろっていると、本物のカード会社からの連絡のように見せかける材料にはなります。決済に直接使えないことと、だましに使われないことは別の話です（編集部分析）。

第2報で対象とされ、最終報で外れた項目

店舗メールのログイン情報、FTPのIDとパスワード、振込先の口座情報は最終報で対象から外れました。

最終報によると、これらは8月2日の第2報では漏えいの対象に含めていた項目です。最終調査の結果、漏えいしていないことが確認されたとして、最終報では対象外としています。店舗を運営していた人は、第2報の時点で求められた対応と、最終報の内容を見比べておくと安心です。

項目が分かったところで、次は自分が対象かどうかと、今やることを確かめます。

パスワードの使い回しをやめることは、今回に限らず漏えいへの一番手軽な備えです。

自分が対象か確かめる方法と今やること

対象者への個別の連絡は完了しており、連絡が届かない人は問い合わせ窓口で確かめられます。

Eストアーによると、対象者への個別連絡はすでに終わっています。連絡先が確認できなかった人に対しては、公式サイトのお知らせと問い合わせ窓口で代えるとしています。購入者とアフィリエイターの窓口は問い合わせフォームと「support@estore.co.jp」、店舗運営者の窓口はEストアーデスク（電話03-6434-0946・平日10時〜18時）です。

今日やることは3つ

不審な連絡を開かない、カードの利用明細を見る、使い回したパスワードを変える、の3つです。

1つ目はEストアーが最終報で呼びかけている注意で、2つ目と3つ目は編集部がすすめる備えです。

Eストアーがしないと明言している連絡

Eストアーは、カード情報の再入力や再決済を求めることも、メールやSMSでパスワードを尋ねることもないとしています。

Eストアーは、同社や金融機関を装った不審なメール・SMS・電話に注意するよう呼びかけています。最終報の時点で、本件による具体的な二次被害の報告や、ダークウェブ（違法な情報が売買される匿名のネット空間）への流出は確認されていないと同社は説明しています。ただし、それは被害が起きないことの保証ではありません。連絡が本物かどうか迷ったら、メールのリンクではなく、自分で開いた公式サイトや、カードの裏面に書かれた電話番号から確かめてください。

同じ時期にはほかの大手サービスでも漏えいが相次いでおり、「ソースネクスト情報流出2252万件｜パスワード再設定と今日やること」でも、パスワードの使い回しへの備えを整理しています。

不正アクセスの経緯（5月21日〜10月16日）

不正アクセスは5月21日から8月1日まで約2か月半続き、最終報が出たのは発覚から約2か月半後でした。

最終報によると、攻撃者はEストアーのサーバーで動いていたアプリケーションの脆弱性（プログラムの欠陥）を突いて不正なプログラムを動かし、データベースの情報を外へ送っていました。ほかの経路からの侵入や、バックドア（あとで再び入り込むための裏口）が仕掛けられた形跡は確認されていないとしています。経緯を日付順に並べます。

この流れのとおり、少なくともEストアーが8月1日に通信を遮断するまで、攻撃は約2か月半続いていました。

個人情報保護委員会と警察への報告

Eストアーは個人情報保護委員会と関東総合通信局に報告書を出し、所轄の警察署にも相談しています。

再発を防ぐ対策として、悪用された脆弱性の修正と攻撃経路の遮断、残っている脅威の調査、アプリケーションとサーバーの脆弱性診断、管理画面などへの二要素認証（パスワードに加えて別の確認を求める仕組み）の導入を挙げています。

2026年の個人情報漏えいはなぜ急増しているのか

フィッシングやアカウント乗っ取り、脆弱性を突く攻撃が増え、従業員300人以下の組織にも被害が広がったためです。

調査会社のMM総研が10月14日に公表した集計では、サイバー攻撃による漏えい事案は2026年1〜9月で454件と、前年同期の304件から49%増えました。公表された事案を組織名・サービス名で照合して1件ずつ数えたもので、共通の委託先が攻撃されて複数の組織が公表した場合は1事案として数えています。同じ1〜9月の件数を年ごとに並べると、2026年の伸びが際立ちます。

2026年は2022年の約1.9倍で、10月13日までの通算は485件と、すでに2025年の1年分（432件）を上回っています。月別では8月の71件が過去5年で最も多い月でした。

増えたのは300人以下の企業と、乗っ取り・フィッシング

増加分150件のうち96件、約3分の2が従業員300人以下の組織でした。

MM総研の集計では、従業員300人以下の組織の事案は前年同期の99件から195件へと約2倍に増えています。きっかけ別では、フィッシング（偽サイトなどで認証情報をだまし取る手口）が起点の事案が11件から43件に、不正ログインやアカウント乗っ取りが43件から72件に、脆弱性を突いた事案が30件から48件に増えました。ランサムウェア（データを暗号化して身代金を求めるウイルス）は81件から88件で、増え方は比較的小さくなっています。ショップサーブの件は、このうち「脆弱性を突いた事案」の型にあたります。

委託先やクラウドを経由した漏えいが3割台半ば

業務委託先やクラウドサービスなど外部が関わった事案は、2026年1〜9月で164件、全体の36%でした。

MM総研によると、この割合は2023年以降3割台半ばで続いています。ショップサーブのように、多くの店が1つの基盤を共有している仕組みでは、基盤が1か所破られると、利用者は自分が直接取引していない会社から情報が漏れることになります。一方で、検知から最初の公表までの平均日数は2023年の41日から2026年は17日に縮まっています（中央値は6日）。公表が早くなったぶん、件数が表に出やすくなった面もあると考えられます（編集部分析）。

2026年の大規模な情報漏えい一覧

2026年は1,000万件を超える漏えいが相次ぎ、ショップサーブはその中でも最大級の規模です。

各社の発表と東京商工リサーチの集計から、2026年に公表された主な大規模事案を規模の大きい順に並べます。単位（人・件・アドレス数）は各社の発表のままで、そろっていない点に注意してください。

上位7件のうち5件が10月に入ってからの公表で、秋に入って大型の発表が集中していることが分かります。各事案の詳しい経緯は、「スカイチケット情報流出1464万件」「焼肉きんぐ情報流出1078万件」「ブックオフ情報漏えい643万件」で整理しています。

単純に数字を並べるとベネッセに次ぐ規模

東京商工リサーチの集計で過去最大はベネッセの約3,504万件で、ショップサーブの約2,335万人はそれに次ぐ数字です。

東京商工リサーチは2012年以降、上場企業とその子会社が公表した漏えい事故を集計しています。最大は2014年7月のベネッセホールディングスで、委託先の元社員が持ち出した約3,504万件でした。ただしベネッセは「件」、ショップサーブは名寄せ後の「人」で、単位が違います。「歴代2位」と言い切るより、「数字を並べるとベネッセに次ぐ規模」と受け止めるのが正確です（編集部分析）。

MM総研の19件と東京商工リサーチの10件はなぜ違うか

100万件以上の事案数が19件と10件で分かれるのは、数える対象と時点が違うためです。

MM総研の19件（10月13日時点）は、上場・非上場を問わず全組織のサイバー攻撃による事案を数えたものです。東京商工リサーチの10件（10月5日時点）は、上場企業とその子会社が公表した漏えい・紛失事故に限ったものです。どちらも2026年が過去最悪のペースだという点では一致しています。東京商工リサーチは、1,000万件以上の漏えいが2025年までの14年間で3件だったのに対し、2026年は10月5日時点ですでに3件起きていると指摘しています。

なお、SNS上では「国内の漏えいが1億2,265万人規模」といった数字も出回っていますが、編集部が調べた範囲では一次の出典を確認できませんでした。各社の件数は単位がそろわず、同じ人が複数の事案に重なってもいるため、単純に足し合わせた数字は実態の人数を表しません。

相次ぐ大規模漏えいから見える課題

ショップサーブでは、1つの共通基盤への攻撃が7,858店舗の利用者に影響しました。

外部が関わる漏えいはショップサーブに限りません。MM総研の集計では、業務委託先やクラウドなど外部が関与した事案が2026年1〜9月で164件、全体の36%を占めています。MM総研は、多要素認証や脆弱性への素早い修正を大企業だけでなく取引先の中堅・中小企業まで広げること、委託先を含めたサプライチェーン全体を管理することを求めています。

利用者の個人情報は、企業にとっての資産であると同時に、国全体で見れば社会の基盤に関わる情報でもあります。被害を受けた企業の責任を問うだけでなく、通販や予約の基盤を担う事業者に、どこまでの守りを求めるかを社会全体で決めていく段階に来ていると考えられます（編集部分析）。

個人でできることは限られますが、パスワードの使い回しをやめ、二要素認証が使えるサービスでは有効にしておくことが、どの事案にも共通する備えになります。

ショップサーブの情報漏えいのよくある質問

ショップサーブの件で問い合わせの多そうな点を、最終報の内容からまとめます。

続報があればEストアーの公式サイトで公表される見込みのため、気になる人は同社のお知らせを確かめてください。

参考情報

• Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）
• Eストアー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年8月1日）
• INTERNET Watch「BASE子会社EストアーのEC構築・支援サービス『ショップサーブ』に不正アクセス」
• PFU「旧ECサイトご利用のお客様の個人情報漏えいについて」（2026年9月18日）
• ハリマ食品のお知らせ（2026年8月10日・PDF）
• MM総研「国内サイバー攻撃による情報漏えい動向調査」（2026年10月14日）
• 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月7日）