Eストアーは2026年10月16日、EC構築・運営支援サービス「ショップサーブ」への不正アクセスによる情報漏えい事案について、外部専門機関によるフォレンジック調査が完了し、対象範囲が確定したとして最終報を公表した。
同社によると、2026年5月21日から8月1日にかけて第三者がサーバー上のアプリケーションの脆弱性を悪用して不正プログラムを実行し、データベースの情報を外部へ送信していた。8月1日の判明時に攻撃元との通信を遮断し、以降の攻撃の成立や他の侵入経路、バックドアの設置は確認されていないという。
漏えい対象者数は購入者・店舗運営者・アフィリエイターを合わせて約2335万6000人、対象店舗は7858店。このうちクレジットカード情報の一部(名義、カード番号の先頭6桁と下4桁、有効期限)を含む対象者は約209万6900人に上る。完全なカード番号やセキュリティコードは保持しておらず対象外のため、漏えい情報のみでの決済はできないとしている。氏名や住所、電話番号、会員ID、暗号化されたパスワード、店舗の管理画面ログイン情報なども対象となった。
現時点で二次被害やダークウェブ上への流出は確認されていない。個人情報保護委員会と関東総合通信局に報告し、警察にも相談済み。対象者への個別連絡は完了し、脆弱性の修正や二要素認証の追加などの再発防止策を実施したとしている。
