ショップサーブに不正アクセス、購入者情報885万件流出 ― 気づかれなかった2カ月半

2カ月半、気づかれなかった侵入 #

ECサイト構築サービス「ショップサーブ」を運営するEストアー(親会社BASE)が、外部からの不正アクセスによる情報漏えいを発表した。侵入が行われていたのは2026年5月21日から8月1日までの実に2カ月半。攻撃者はこの間サーバー上で不正なプログラムを動かし、情報を外部へ送信し続けていたとみられる。8月1日の第1報では発生期間を数時間としていたが、翌日の第2報で大幅に訂正・拡大された。現時点の公表件数は延べ885万3839件で、調査はなお継続中という。

「購入者情報」だけでは済まない漏えい範囲 #

深刻なのは漏えいした情報の幅広さだ。氏名・住所・電話番号・メールアドレスなどの購入者情報に加え、会員ID・パスワード(暗号化済み)、クレジットカード情報の一部(名義・番号の一部・有効期限、CVVは対象外)まで含まれる。さらに見過ごせないのが、ショップサーブを利用する店舗側の管理画面ログイン情報、メールシステムのID・パスワード、FTPのID・パスワード、そしてEストアーからの振込先口座情報までもが流出対象になった点だ。個人情報漏えいというより、多数のEC店舗の管理基盤そのものへの侵入口を外部に渡してしまったに等しい。実際、複数の利用店舗が自社顧客への個別通知や、対策完了の報告を相次いで公表する事態になっている。

セキュリティ屋の視点: SaaS型ECの「単一障害点」リスク #

この事案が象徴するのは、SaaS型ECプラットフォームが抱える構造的リスクだ。1つの基盤への侵入が、そこに乗る無数の加盟店・エンドユーザーへ一斉に波及する。FTP・管理画面認証情報の漏えいは、二次的な改ざんやサプライチェーン型攻撃の起点になりかねない。侵入経路や原因は現時点で非公表のままだが、2カ月半にわたり検知されなかった事実は、監視・ログ相関の甘さを物語る。パスワードは暗号化済みとされるが、他サービスと使い回している利用者・店舗担当者は今すぐ変更すべきだろう。