暮らしと制度 / 情報セキュリティ
ショップサーブの情報漏洩で自分は対象か、約2,335万人とカード番号
お店のサイトで買い物をしただけなのに、ネットショップの仕組みを提供する会社から「情報が漏えいした」と連絡が来ることがあります。Eストアーの「ショップサーブ」は、7,858店の購入者などの情報が外部に送られていたと最終報で公表しました。漏れた項目、カード情報の一部の意味、届いたメールの確かめ方を、公表資料をもとにまとめました。
結論
Eストアーは10月16日の最終報で、ショップサーブを使う7,858店の購入者・店舗・アフィリエイターの約2,335万人の情報が漏えいしたと公表しました。うち約209万人はカード名義、番号の先頭6桁と下4桁、有効期限も含みますが、全桁とセキュリティコードは含まれず、これだけでは決済できないとしています。
漏えいの対象者
2,335万人
約23,356,000人（名寄せした概数）
カード情報の一部を含む人
209万人
約2,096,900人
対象の店舗
7,858店
今と過去の利用店舗
この記事の要点（5項目）
- Eストアーは10月16日、ネットショップの仕組み「ショップサーブ」が5月21日から8月1日まで攻撃を受け、データベースの情報が外部に送られていたとする最終報を公表しました。
- 対象は購入者・店舗・アフィリエイターの約2,335万人で、ショップサーブを今使っている店と過去に使っていた店の7,858店が含まれます。人数は複数の項目で名寄せした概数です。
- 約209万人はカード名義、番号の先頭6桁と下4桁、有効期限も含みます。カード番号の全桁とセキュリティコードは保持しておらず、漏れた情報だけでは決済できないと説明しています。
- お詫びは、Eストアーだけでなく、ショップサーブを使っていたお店からも届きます。お店の名前に覚えがなくても、何年か前にそのお店のサイトで買い物をしていれば対象になりえます。
- Eストアーは、カード情報の再入力や再決済、パスワードを求めることはないとしています。カード会社やお店を名乗る連絡でも、カード番号の全桁や暗証番号を聞かれたら答えないようにします。
ショップサーブで何が漏れたのか
この章の結論
ショップサーブを使う7,858店の購入者などの情報が、5月21日から8月1日まで外部に送られていました。対象は約2,335万人で、項目は立場ごとに違います。
ショップサーブは、お店が自分のネットショップを開くための仕組みです。買い物をした人から見ると、お店の名前しか見えないことがあります。
5月21日から8月1日まで、データベースの情報が外部へ
Eストアーによると、外部の第三者が、同社のサーバーで動くアプリケーションの脆弱性を悪用して不正なプログラムを動かし、データベースの情報を外部に送っていました。期間は2026年5月21日から8月1日までで、8月1日に攻撃元との通信を遮断し、それ以降は攻撃が成り立っていないことを確かめたとしています。ほかの侵入の経路や、裏口となるプログラムの設置は確認されていないとしています。
| 日付 | 出来事 |
|---|---|
| 5月21日〜8月1日 | アプリケーションの脆弱性を悪用され、データベースの情報が外部に送られる |
| 8月1日 | 攻撃元との通信を遮断。第1報 |
| 8月2日 | 第2報 |
| 10月16日 | 外部の専門機関の調査を経て最終報。対象の人数と項目が確定 |
出典：株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）。
漏えいした項目は、立場によって違います。
| 立場 | 漏えいした項目（最終報） |
|---|---|
| 購入者（配送先を含む） | 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意に入力した情報 |
| カード情報の一部（約209万人） | カード名義、カード番号の先頭6桁と下4桁、有効期限 |
| 会員（メールマガジン会員を含む） | 会員ID、暗号化されたパスワード |
| 店舗 | ショップサーブ管理画面のログインIDとパスワード、コンビニ払込票に書く販売責任者の氏名、店舗名、住所、電話番号、FAX番号 |
| アフィリエイター | 登録したメールアドレスとパスワード |
出典：同上。会員のパスワードは暗号化されていて特定される可能性は低く、ログイン先の店舗を結びつける情報も含まれないため、悪用や不正ログインの可能性は低いと同社は判断しています。
約2,335万人は名寄せした概数、第2報から項目が減った
対象は約2,335万6,000人で、購入者、店舗の運営者、アフィリエイターを合わせた数です。複数の項目が一致するものを同じ人として数えた概数だとしています。対象の7,858店には、今ショップサーブを使っている店と、過去に使っていた店が含まれます。
8月2日の第2報では、店舗のメールシステムやFTPのIDとパスワード、振込先の口座情報も漏えいの対象に挙げていました。最終報では、調査の結果これらは対象ではないと確かめられたとして、外しています。報道によると、第2報の時点の件数は延べ最大885万3,839件でした。
カード番号の先頭6桁と下4桁で何ができるのか
この章の結論
漏れたカード情報は一部で、全桁とセキュリティコードは含まれず、これだけでは決済できないとされています。注意したいのは、番号の一部を知ったうえで送られる偽の連絡です。
約209万人については、クレジットカード情報の一部も漏えいしました。
全桁とセキュリティコードは含まれない
漏えいしたのは、カード名義、カード番号の先頭6桁と下4桁、有効期限です。Eストアーは、カード番号の全桁とセキュリティコードはもともと保持しておらず、漏えいしていないとしています。そのため、漏えいした情報だけではクレジットカードで決済できないと説明しています。
カード番号の先頭の数桁は、一般に、どのカード会社のどの種類のカードかを示す番号です（一般的な仕組みについての当社の説明です）。下4桁は、利用明細やネットショップの画面で、どのカードかを見分けるために表示されることの多い部分です。
気をつけたいのは、番号の一部を使った偽の連絡
名義、有効期限、番号の下4桁が分かっていると、「下4桁が〇〇〇〇のカードで不正な利用がありました」のように、本物らしく見える連絡を作れます（当社の見方）。Eストアーは、同社や金融機関を装った不審なメール、SMS、電話に注意するよう呼びかけ、カード情報の再入力や再決済、パスワードを求めることはないとしています。
利用していたお店のデザインフィルも、カード番号の全桁や暗証番号を求められても応じないよう呼びかけています。カードを止めるかどうかについて、Eストアーの最終報に案内はありません。身に覚えのない請求を見つけたときや、偽の連絡にカード番号を入れてしまったときは、カードの裏面に書かれた番号からカード会社に相談します（当社の見方）。
知らないお店からお詫びが届く理由
この章の結論
お詫びは、ショップサーブを使っていたお店の名前で届くこともあります。そのお店のサイトで買い物をしていれば、対象になりえます。
ショップサーブの件では、Eストアーだけでなく、ショップサーブを使っていたお店からもお知らせが出ています。
お店の名前で届くお詫び
Eストアーは、対象の顧客、店舗、アフィリエイターへの個別の連絡は終わったとしています。連絡先が分からない人には、お知らせの公表と問い合わせ窓口で代えるとしています。
ショップサーブを使っていたお店も、自分のサイトでお知らせを出しています。たとえばデザインフィルは10月20日、最終報告を公表し、「ミドリオンラインストア」と「タッチアンドフローオンラインショップ」の利用者向けに、注文履歴などの問い合わせ先を案内しています。数年前に一度だけ買い物をしたお店から連絡が来ることもあるため、「身に覚えがない」と感じやすくなります（当社の見方）。
お店の側ですること
漏えいした項目には、ショップサーブ管理画面のログインIDとパスワードも含まれます。Eストアーは8月1日に認証情報のリセットなどを行い、管理画面などに二要素認証や二段階認証を入れるとしています。
お店を運営する会社は、管理画面のパスワードをほかのサービスと同じにしていないかを確かめ、同じにしていれば別のものに変えておくと安心です（当社の見方）。店舗からの問い合わせは、Eストアーデスク（03-6434-0946、平日10時〜18時）で受け付けています。
お詫びが届いた人が今できる3つのこと
Eストアーとデザインフィルの公表をもとにまとめました。
送り主のお店やEストアーの公式サイトで確かめる
届いたメールのお店の名前で検索し、そのお店の公式サイトに同じ内容のお知らせがあるかを確かめます。メールのリンクは開かず、カード情報の再入力や再決済、パスワードを求められても応じません。
カードの利用明細を見る
約209万人はカード情報の一部も対象です。利用明細に身に覚えのない請求がないかを確かめ、あればカードの裏面の番号からカード会社に相談します。
同じパスワードを使っているサービスを変える
会員のパスワードは暗号化されていて悪用の可能性は低いとされていますが、同じパスワードをほかのサービスでも使っている場合は、そちらを別のパスワードに変えておくと安心です（当社の見方）。
よくある質問
- 自分がショップサーブの件の対象かどうか、どうすれば分かりますか
- Eストアーは、対象の人への個別の連絡は終わったとしています。連絡先が分からない人には、公表と問い合わせ窓口で代えるとしています。心当たりがあれば、同社のお問い合わせフォームか support@estore.co.jp に問い合わせます。
- クレジットカードは止めたほうがいいですか
- 漏れたのはカード名義、番号の先頭6桁と下4桁、有効期限で、全桁とセキュリティコードは含まれず、これだけでは決済できないとEストアーは説明しています。最終報にカードを止める案内はありません。身に覚えのない請求があれば、カードの裏面の番号からカード会社に相談します。
- 知らないお店からお詫びのメールが来たのはなぜですか
- ショップサーブを使っていたお店のサイトで、以前に買い物をしていた可能性があります。対象の7,858店には、過去にショップサーブを使っていた店も含まれます。
- パスワードは変える必要がありますか
- 会員のパスワードは暗号化されていて、特定される可能性は低いとEストアーは判断しています。同じパスワードをほかのサービスでも使っている場合は、そちらを別のパスワードに変えておくと安心です。
- 問い合わせ先はどこですか
- 購入者とアフィリエイターは、Eストアーのお問い合わせフォームか support@estore.co.jp です。店舗はEストアーデスク（03-6434-0946、平日10時〜18時）か sp@estore.co.jp です。
- なぜプラスチックパレット株式会社がこの記事を書いているのですか
- 当社は物流資材を扱う会社で、取引先や中小企業に関わる情報漏えいの公表を日々見ています。お詫びを受け取った人とお店を運営する会社が確かめられるよう、公表資料をもとに整理しました。
出典・エビデンス一覧3件（会社の公表2・報道1）
会社の公表
- 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）
- 株式会社デザインフィル「【最終報告】サーバーへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（2026年10月20日）
報道
当社の関連記事
- ビューカード情報漏洩でカードは止めるべきか、約403万件のメールアドレスとJR九州・IDCFクラウド
- 情報漏洩のお知らせメールが来たら何をするか、漏れた項目ごとの対応表とIPA・警察庁が勧める確認
- 情報漏洩で自分は対象かどう確認するか、個人情報保護委員会の本人通知とHave I Been Pwnedの限界
- 身に覚えのないお詫びメールはなぜ届くのか、Studioへの不正アクセスと岐阜県など利用者側の公表
- ※内容は2026年10月23日時点の公表にもとづきます。
- ※第2報の件数は報道によるもので、Eストアーの第2報の本文は確かめていません。
- ※「当社の見方」「当社の説明」と書いた部分は、公表資料と一般的な仕組みをもとにした当社の整理です。
「情報漏えい・サイバー攻撃」の新しい記事
- IDAREの情報漏洩で何をするか、Fivot 12万9,659人の残高・取引履歴と本人確認書類の番号
- ムーンスターの情報漏洩で自分は対象か、楽天市場など8つの公式ショップと最大59万3千人
- OTOTOYの不正アクセスで自分は対象か、オトトイ最大約48万件と購入履歴・カード情報の扱い
- ビューティガレージの情報漏洩でサロンは何をするか、77万5,725件とアイラッシュガレージ
- SpeeCAN RAIDENの不正アクセスで自分は対象か、自治体の安全メール約313万件とアルカディア
- アエナの情報流出で自分は対象か、アプリ会員最大81万人とカード下4桁、LINE会員は対象外
ほかのテーマ：テーマから探す