株式会社Eストアーは2026年10月16日、EC支援サービス「ショップサーブ」への不正アクセスに関する最終報を公表しました。対象者は購入者だけではなく、店舗運営者やアフィリエイターも含む約2,335万6,000人、対象店舗は7,858店です。購入者・会員の情報に加え、約209万6,900人分にはカード情報の一部が含まれます。
ただし、約2,335万人全員のカード情報が漏れたわけではありません。完全なカード番号とセキュリティコードはEストアーが保持しておらず、今回の対象外です。この記事では、最終報で確定した情報、8月の発表から変わった点、自分が対象か確認する方法を分けて整理します。
先に確認：対象店舗の店名を並べた公開一覧は、最終報には掲載されていません。自分の購入先が対象か知りたい場合は、Eストアーの公式発表ページから問い合わせ窓口を確認してください。「ショップサーブを使っていた店で買った」ことだけで、個人情報が漏えいしたと断定することはできません。
ショップサーブ最終報で確定したこと
Eストアーの最終報によると、外部の第三者は2026年5月21日から8月1日まで、サーバー上で稼働するアプリケーションの脆弱性を悪用し、データベースの情報を外部へ送信しました。Eストアーは8月1日に攻撃元との通信を遮断し、その後は攻撃が成立していないと確認しています。
外部専門機関の調査では、確定した侵入経路以外の侵害や、バックドアなど不正プログラムの設置は確認されなかったとしています。最終報の公表時点で、具体的な二次被害やダークウェブ上への流出も確認されていないとの説明です。これは公表時点での調査結果であり、今後の不審な連絡への注意は続けてください。
対象者数は約23,356,000人、対象店舗数は7,858店です。対象者数には購入者・会員に加えて店舗運営者やアフィリエイターが含まれます。重複を可能な範囲で除いた概数ですが、人数の一致基準を満たさない重複は残る可能性があるとEストアーは説明しています。「2,335万人の購入者がいる」「2,335万人全員の同じ情報が漏れた」という意味ではありません。
購入者・会員・店舗で漏えい項目が異なる
最終報に記載された主な情報を、対象者の立場ごとに整理しました。すべての項目が全員に当てはまるわけではありません。
| 対象者 | 最終報に記載された情報 |
|---|---|
| 購入者 | 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報 |
| 会員 | 会員ID、暗号化されたパスワード |
| カード情報の一部を含む人 | カード名義、番号の先頭6桁・下4桁、有効期限 |
| 店舗運営者 | 管理画面のログインID・パスワード、コンビニ払込票の店舗情報 |
| アフィリエイター | 登録メールアドレス、パスワード |
会員パスワードは暗号化して管理され、Eストアーは特定・悪用される可能性が低いと判断しています。また、最終報では、漏えい情報にログイン先の店舗を結び付ける情報が含まれていないとの説明です。ただし、他サービスで同じパスワードを使っている人は、次の対応欄も確認してください。
カード情報はどこまで対象？全番号とCVVは対象外
カード情報の一部が対象となったのは約2,096,900人です。漏えい対象にはカード名義、カード番号の先頭6桁と下4桁、有効期限が含まれます。一方、完全なカード番号とセキュリティコード（CVV/CVC）はEストアーが保持しておらず、対象外です。会社は、今回漏えいした情報だけではカード決済を行えないと説明しています。
そのため、「2,335万人分のカード番号が流出した」「全員のカードが使われた」と読み替えるのは誤りです。ただし、氏名や連絡先と組み合わせたフィッシングには注意が必要です。カード会社やEストアー、購入店を名乗る不審なメール・SMS・電話を受けた場合は、メッセージ内のリンクを開かず、公式サイトやカード裏面の窓口から確認してください。
8月の第2報から変わった点と件数の読み方
8月2日の第2報は、対象件数を8,853,839件と公表し、同じ人の複数データが含まれる可能性があると説明していました。10月16日の最終報では、購入者・店舗運営者・アフィリエイターなどを集計した対象者数を約23,356,000人、対象店舗を7,858店としています。第2報の「件」と最終報の「人」は単位も対象範囲も異なるため、数字だけを比べて漏えい件数が増えた・減ったとは判断できません。
もう一つの重要な更新は、店舗メールシステムとFTPのID・パスワード、Eストアーからの振込先口座情報です。これらは第2報では漏えい対象として公表されましたが、最終報の調査で対象に含まれていないと確認され、対象情報から除外されました。最終報を基準に読むときは、この訂正を反映してください。
自分が対象か・購入先の店名を確認する方法
Eストアーは、対象となったお客様・店舗・アフィリエイターへの個別連絡を完了したとしています。連絡先が確認できず個別案内が難しい人については、最終報の公表と問い合わせ窓口の設置をもって代えると説明しています。したがって、通知が見当たらないことだけで「対象外」と断定することはできません。
購入先の店名や自分の情報が対象か確認したい人は、Eストアーの最終報ページにある公式問い合わせフォーム、または個人情報に関する窓口（support@estore.co.jp）から照会してください。最終報では、対象店舗は現在利用中の店と過去に利用していた店の両方を含む一方、個別の店名一覧は掲載されていません。
なお、2026年5月21日〜8月1日は不正アクセスが行われた期間です。Eストアーの最終報は、購入日がその期間内の人だけが対象とは説明していません。過去の購入情報が対象かどうかは、注文日だけから自己判断せず、公式窓口に確認してください。
通知を受けた人が今確認すること
最終報は、Eストアーが本件についてカード情報の再入力や再決済を依頼することはなく、メールやSMSでパスワードを尋ねることもないと明記しています。「返金」「本人確認」「再決済」などを理由にカード番号、セキュリティコード、パスワードを入力させる連絡は、リンクを開かず公式窓口へ確認してください。
会員パスワードは暗号化され、悪用の可能性は低いというのが会社の説明です。それでも他のサービスと同じ、または似たパスワードを使っている場合は、他サービス側のパスワードも変更し、可能なら多要素認証を有効にします。身に覚えのないカード請求があれば、通知内の番号ではなくカード裏面に記載されたカード会社へ連絡してください。別のサービスの情報漏えい時の確認ポイントは、ソースネクスト情報流出の記事でも整理しています。
確認に使った公式資料
事実関係は、Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）を基準に確認しました。第2報との変更点は、2026年8月2日の公表資料と照合しています。
確認日：2026年10月17日（日本時間）。個別の購入者情報や店舗名は公表資料からは特定できません。本人に関する照会はEストアーの公式窓口へ行ってください。