調査中最終更新 2026-09-26

株式会社Eストアー

情報通信（ECサイト構築・運営支援サービス）／未公表／東京

不正アクセス情報漏洩サプライチェーン波及

BASE株式会社の子会社Eストアーが運営するEC構築サービス「ショップサーブ」のサーバーが外部から不正アクセスを受け、2026年5月21日から8月1日にかけて第三者が同社サーバー上で不正なプログラムを実行し、購入者情報を外部へ送信した。同社は8月1日に第1報、8月2日に第2報を公表し、公表件数は延べ8,853,839件。購入者情報、会員ID・暗号化パスワード、クレジットカード情報の一部、店舗の管理画面・メール・FTPの認証情報や振込先口座情報が漏えい対象とされた。デザインフィル、マルキユー、絵具屋三吉、キングジム、PFUなど多数の利用店舗・過去の利用企業が自社顧客への影響を公表した。

用語をタップで解説 ›

きっかけ・侵入経路

公式発表侵入経路

「ショップサーブ」のサーバーに対する外部からの不正アクセスが原因で、2026年5月21日から8月1日にかけて外部の第三者が同社サーバー上で不正なプログラムを実行し、購入者情報を外部へ送信した。原因の詳細、侵入経路、検知の契機は調査中として公表されていない。

攻撃者不明（攻撃者は公表されていない）

被害・漏洩

公式発表

漏洩件数

推定・上限（漏洩の可能性）

Eストアーは漏えいを確認済みとして公表しており、可能性としての別枠件数は示していない。利用店舗側の公表では、PFUが「PFUダイレクト本店」について対象となる可能性がある注文データを最大169,355件（注文単位、実漏えい件数はEストアーが調査中）としている。

実際の漏洩はこれより少ない場合があります

確認済み（確定値）

延べ8,853,839件（第2報時点の公表件数。同一購入者の複数登録データを含み得るため人数ではない。対象範囲の調査は継続中）。

漏洩した情報の種類

氏名住所電話番号FAX番号メールアドレス勤務先任意入力情報会員IDパスワード（暗号化）クレジットカード名義カード番号の一部（先頭6桁・下4桁）有効期限店舗管理画面のログインID・パスワード店舗メールシステムのID・パスワードFTPのID・パスワード振込先口座情報

含まれない情報：クレジットカードのセキュリティコード（CVV/CVC）は保持しておらず漏えい対象に含まれない。

組織が把握できていないこと

Eストアーは対象店舗の一覧、対象・非対象の基準、購入者の実人数を公表していない。第3報以降の公表は2026年10月5日時点のプレスルームで確認できない。脆弱性対策の完了（8月6日）や対象者への個別メール通知開始（8月7日16時）は利用店舗の公表でのみ確認できる。漏えい項目は店舗ごとに異なり、PFUのようにカード情報・会員情報は漏えいしていないとする店舗もある。piyologの集計（10月2日更新）では64組織が影響を、12組織が対象外を公表しているが、未公表の店舗の影響有無は不明。

対応と結末

公式発表経営層への説明に効く

身代金の要求

不明

身代金の支払い

不明

身代金要求がなかったため

復旧手段

攻撃元からの通信の遮断および遮断後のアクセス不能確認を完了。個人情報保護委員会へ報告するとし、所轄警察署への届け出を検討。購入者に会員パスワード変更、店舗に管理画面・メール・FTPのパスワード変更と二段階認証の利用を要請。8月6日に購入者向けマイページのログイン認証システムのセキュリティ強化を実施（本事案への言及はなし）。

再発防止策

再発防止策は検討中で、セキュリティ体制の構築・強化を図るとしている（具体策は未公表）。

経緯

2026-05-21

初期侵入

この日から8月1日にかけて、第三者がサーバー上で不正なプログラムを実行し購入者情報を外部へ送信（第2報で判明）。

2026-08-01

公表

第1報を公表（9:09〜11:06頃の外部送信、最大延べ8,853,839件）。親会社BASEも同日公表。

2026-08-02

続報

第2報で発生期間を5月21日からに拡大し、会員ID・パスワード、カード情報の一部、店舗認証情報、振込先口座情報を漏えい項目に追加。

2026-08-03

続報

デザインフィル、マルキユーなど利用店舗が自社顧客への影響を相次いで公表。

2026-08-05

続報

BASEが中間期決算短信の追加情報で言及。業績への影響は軽微と見込むが精査中。

2026-08-06

初動対応

購入者向けマイページのログイン認証システムのセキュリティ強化を公表。利用店舗の公表によれば、同日までに原因となった脆弱性への対策が完了。

2026-08-07

続報

利用店舗の公表によれば、対象購入者へのメール通知を16時から順次開始。

2026-09-04

続報

キングジムが過去のEC利用者情報の漏えいを公表（8月31日にEストアーから報告）。

2026-09-18

続報

PFUが「PFUダイレクト本店」の顧客情報の漏えいを公表（最大169,355件の注文データが対象の可能性）。

2026-09-26

続報

絵具屋三吉が、9月25日にEストアーから自店顧客も対象と連絡を受けたと公表。

影響

利用店舗の購入者情報漏えいショップサーブを利用する多数の店舗（過去の利用企業を含む）の購入者情報が漏えい対象となった。

店舗の認証情報・口座情報漏えい店舗の管理画面・メールシステム・FTPのID・パスワードと振込先口座情報が漏えい対象となり、店舗にパスワード変更が要請された。

サプライチェーン波及

取引先・委託先・子会社への波及

株式会社デザインフィルショップサーブ利用店舗（ミドリオンラインストア、タッチアンドフローオンラインショップ）8月1日・2日にEストアーから報告を受け、当サイト利用者の個人情報の一部が外部へ漏えいしたことが判明したと8月3日に公表。漏えい項目はEストアー第2報の内容を転記。対象者の特定はEストアーが調査中。

マルキユー株式会社ショップサーブ利用店舗（マルキユーショッピングサイト）お客様情報が外部へ流出した可能性があるとして8月3日付PDFおよび8月5日のショップ告知で公表。購入者の氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報が漏えいした可能性。

有限会社絵具屋三吉ショップサーブ利用店舗（絵具屋三吉オンラインストア）9月25日にEストアーから自店利用者の情報も漏えい対象と確認された旨の連絡を受け、9月26日に公表。漏えい項目はEストアー第2報と同じ項目の全部または一部。

株式会社キングジム過去のショップサーブ利用企業（キングジムストア、オフィスオンライン）8月31日にEストアーから報告を受け、2022年8月以前の利用者の氏名・住所・電話番号・FAX番号・メールアドレス・勤務先・任意入力情報の漏えいを9月4日に公表。Eストアーの報告ではカード情報・ログインパスワードの漏えいは確認されていない。

株式会社PFU過去のショップサーブ利用企業（PFUダイレクト本店）9月17日に自社利用者の情報も漏えい対象と判明し、9月18日に公表。2008年12月5日〜2025年10月31日の利用者（一部販売は2026年9月15日まで）が対象で、対象となる可能性がある注文データは最大169,355件。カード情報・会員情報は漏えいしていないことをEストアーが確認。

株式会社オカベショップサーブ利用店舗8月3日に公表し、8月6日の更新でEストアーが同社との連名で個人情報保護委員会へ報告したこと、原因となった脆弱性への対策が完了したことを追記。