Eストアー「ショップサーブ」情報漏えいの最終報｜約2,335万人が対象、EC運営者が確認したい5つの対策

この記事でわかることショップサーブの情報漏えいに関する最終報をもとに、対象者数・漏えい対象情報・原因と対応状況を整理します。SaaS型ECと自社構築型ECそれぞれで、運営者が確認したい5つの対策も解説します。

※2026年10月16日に公表された最終報を受け、事故概要と漏えい対象情報を更新しました。

Eストアーが提供するECサイト構築・運営支援サービス「ショップサーブ」の情報漏えいについて、調査結果の最終報が公表されました。

この記事では、初期発表から変わった点を整理し、ECサイト運営者が自社の運用で確認しておきたい5つの対策を紹介します。

最終報で明らかになったこと

Eストアーの発表によると、原因はアプリケーションの脆弱性を悪用した不正アクセスで、データベース内の情報が外部へ送信されました。主な公表内容は次のとおりです。

最終報公表時点で、具体的な二次被害の報告は確認されていないと説明されています。最新の案内や個別の対象確認は、Eストアーの公式発表をご確認ください。^[1]

当初の「最大885万3,839件」は延べ件数として公表された数字です。今回の対象者数とは集計方法が異なるため、数字をそのまま比較して被害の増加率を示すことはできません。

なお、BASEは、同社および関係会社の別サービスは異なるシステム環境で運用されており、本件による情報漏えいは発生していないと説明しています。「BASE」サービス自体の事故と混同しないことも大切です。^[2]

SaaS型ECでも、自社で確認することがある

ECサイトのセキュリティ対策は、利用する仕組みによって担当範囲が変わります。

SaaS型ECでは、サービス本体や基盤サーバーの修正は通常、サービス提供会社が行います。店舗側では、提供会社からの案内を確認し、利用できる認証機能や権限設定、社内で扱う顧客データなどを管理します。具体的な分担は、サービスの仕様と契約内容で確認する必要があります。

EC-CUBEなどを自社のサーバー環境で運用する場合は、本体・プラグイン・サーバー環境の更新や監視について、自社と保守会社のどちらが担当するかを決めておきます。

IPAの「ECサイト構築・運用セキュリティガイドライン」も、SaaS型サービスを利用する事業者を対象に含めています。^[3]

大切なのは、確認事項ごとに担当者と連絡先を明確にすることです。以下の5つを、自社・制作会社・保守会社・サービス提供会社の間で確認してみてください。

ECサイト運営者が確認したい5つの対策

以下は、サンクユーがECサイトの運用確認にあたって提案する項目です。今回の事故について、利用店舗の設定に問題があったと判断したものではありません。

1. 脆弱性への対応と、更新を担当する人を確認する

自社構築型のECサイトでは、利用中の本体・プラグイン・サーバーソフトウェアについて、サポート状況とセキュリティ修正の有無を確認します。更新時は、決済や受注処理との互換性、動作確認、問題が起きた場合の戻し方まで計画に含めます。

SaaS型の場合は、サービス提供会社の案内を誰が受け取り、店舗側の対応が必要なものを誰が実施するかを決めておきます。

「保守を依頼しているから大丈夫」と考える前に、契約に含まれる対応範囲を確認しましょう。修正情報の確認、適用作業、動作確認まで含むのか、作業ごとの依頼が必要なのかで、実際の進め方は変わります。

2. 管理アカウントと外部連携の権限を整理する

管理画面だけでなく、利用している場合はFTP・サーバー・外部サービス連携のアカウントも確認します。

• 退職者や契約終了した委託先のアカウントが残っていないか
• 担当者に、業務上必要な範囲を超える権限が付いていないか
• 使わなくなった連携サービスやAPIキーが残っていないか

アカウントの所有者、用途、管理担当者を一覧にすると、担当交代時にも確認しやすくなります。削除や権限変更の前には、受注・在庫・配送などの連携に影響がないかを確かめます。

3. 二要素認証・二段階認証とアクセス制限を確認する

管理画面などの重要な入口では、サービスが提供する二要素認証・二段階認証を利用し、対応している場合はアクセス元の制限も検討します。

機能が用意されているかだけでなく、対象アカウントで実際に有効になっているかを確認することが大切です。

担当者の端末紛失や退職に備え、復旧用の情報を誰が保管するかも決めておきましょう。パスワードの使い回しや共有を避ける運用と、認証機能の設定を合わせて見直します。

4. ログ・バックアップ・取り出した顧客データを確認する

管理画面の操作履歴やログイン履歴について、何が記録され、いつまで保存され、誰が確認できるのかを整理します。

SaaS型では、店舗側から見られるログの範囲や、異常が疑われるときの調査依頼先を確認します。バックアップについても、対象データ、復元できる範囲、依頼方法を把握しておく必要があります。

あわせて確認したいのが、受注CSVや顧客リストなど、ECサイトから取り出した情報です。社内パソコンや共有フォルダー、委託先に保管しているデータも、アクセスできる人と保存期限を整理しましょう。

バックアップの保管先にも、アクセス制限が必要です。取得の有無に加え、復元の手順を確認し、自社で実施できる範囲では復元テストも行います。

5. 事故発生時の連絡・判断・記録の手順を決める

不審なログインや情報流出の疑いが見つかったとき、最初に誰へ連絡するかを決めておきます。

• 社内責任者と、保守会社・サービス提供会社の連絡先
• 営業時間外の連絡方法
• 調査や機能停止について判断する担当者
• 確認できた事実と対応履歴の記録方法
• 顧客への案内を作成・確認する担当者

判断を急ぐ場面でも、未確認の情報を確定事項として案内しないことが重要です。ログなどの調査資料を失わないよう、遮断・停止・復旧の進め方を関係者と確認します。

問い合わせを受けるスタッフにも案内先を共有しておくと、担当者によって説明が食い違う事態を減らせます。

セキュリティ対策を、継続できる運用にする

セキュリティ対策は、構築時の設定に加え、担当交代や機能追加、外部連携の変更に合わせて見直していく必要があります。

サンクユーでは、確認項目ごとに次の4点を記録する進め方をおすすめします。

• 誰が担当するか
• いつ確認するか
• 問題が見つかったら、誰に連絡するか
• 対応した結果を、どこに記録するか

「確認したつもり」を減らし、次の担当者にも引き継げる状態を作ることが目的です。すぐに対応できない項目がある場合も、未対応の内容と理由、次の確認予定を残しておきましょう。

サービスの変更を検討する場合も、必要な機能だけでなく、移行後に誰が更新・監視・アカウント管理を続けるかまで確認することが大切です。

ショップサーブの最終報・ECサイトの対策に関するよくある質問

ECサイトの運用・保守を見直したい方へ

「保守契約の範囲が分からない」
「管理アカウントや外部連携を整理したい」
「EC-CUBEの更新とセキュリティ対策を相談したい」

このような場合は、現在のご利用環境と運用体制をお聞かせください。

サンクユーでは、ECサイトの構築・保守・機能改善の観点から、現在の状況と必要な対応を整理します。サービス提供会社への確認が必要な事項も含め、次に何を進めるかをご相談いただけます。

参考情報

1. Eストアー：不正アクセスによる個人情報漏えいに関するお知らせ（最終報）
2. BASE：当社子会社のEストアーにおける不正アクセスによる個人情報漏えいに関するお知らせ（最終報）
3. IPA：ECサイト構築・運用セキュリティガイドライン

※事故に関する記載は、2026年10月16日の最終報を基準としています。上記の運用上の提案は、サンクユーによる一般的な確認項目です。