ITmedia NEWSの報道（Yahoo!ニュース掲載）によると、BASEの完全子会社であるEストアーは、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスにより、約2335万6000人分の情報が漏えいしたと公表しました。サーバ上で稼働するアプリケーションの脆弱性を突かれたことが原因で、現旧合わせて7858店舗の登録情報や購入者の個人情報のほか、約209万6900人分の一部クレジットカード情報も含まれていたことが明らかになっています。
ITmedia NEWS（Yahoo!ニュース）：BASE子会社の漏えい、約2335万人分に 209万人分はクレカ番号「先頭6桁と下4桁」「有効期限」も
この記事のポイント
影響のあるシステム
- Eストアーが提供するECサイト構築・運営支援サービス「ショップサーブ」（利用中および過去に利用した計7,858店舗のシステム環境）
推奨される対策
- 該当サービスで利用していた管理画面等の認証情報を速やかに変更し、他システムでの使い回しがないか点検する
- 自社が管理するWebアプリケーションやサーバ環境の脆弱性診断を定期的に実施し、未修正の欠陥を早期に解消する
- 影響対象となった可能性のある顧客や取引先に対して連絡を行い、不審な連絡やフィッシング詐欺への警戒を呼びかける
専門用語
アプリケーションの脆弱性：ソフトウェアのプログラム設計や実装上の不備により生じるセキュリティ上の欠陥。攻撃者に悪用されると、不正なコマンドの実行やデータの窃取を許す原因となります。
二次被害：不正アクセスによって流出した個人情報や認証情報が悪用され、なりすましによる不正ログインや詐欺、別のシステムへの侵入など新たな被害が発生すること。
脆弱性を悪用した侵入と約2か月間に及ぶ不正アクセスの手口
Eストアーが公表した調査結果によると、同社が運営するECプラットフォーム「ショップサーブ」に対する不正アクセスは、5月21日から8月1日までの約2か月間以上にわたって継続して行われていました。攻撃者はサーバ上で稼働していたアプリケーションの脆弱性を突いて不正なプログラムを実行し、データベースに格納されていた大量の情報を外部のサーバへ送信していたと説明されています。
同社が異常を検知したのは8月1日のことであり、即座に攻撃元からの通信を遮断する措置を講じました。その後の詳細な調査により、今回の侵入経路以外におけるセキュリティ侵害は確認されず、システム内部にバックドアなどの悪意あるプログラムが恒久的に設置された痕跡も認められなかったと報告されています。また、一連の攻撃による二次被害の報告や、ダークウェブなど外部へのデータ流出についても、現時点では確認されていないとしています。
発見後、同社は悪用された脆弱性の修正対応を速やかに実施したほか、影響を受けた認証情報のリセットやアプリケーションおよびサーバに対する包括的な脆弱性診断を実施しました。あわせて認証システムの強化など再発防止策を講じたと説明されています。
約2335万人分に達した流出被害と漏えい情報の詳細
今回のインシデントでは、ショップサーブを利用している現行の加盟店および過去に利用していた加盟店を合わせた計7858店舗が影響を受けました。漏えいの対象となった人数は全体で約2335万6000人に上り、一般の購入者や会員に加えて、店舗の運営者やアフィリエイトプログラム登録者などの情報も含まれています。
流出した具体的な情報項目は、店舗側と購入者側でそれぞれ異なります。主な漏えい項目として以下が報告されています。
- 店舗側：管理画面のログインIDおよびパスワード、コンビニ払込票に記載された店舗情報（販売責任者氏名、店舗名、住所、電話番号等）、アフィリエイト登録者のメールアドレスおよびパスワード
- 購入者側：氏名、配送先住所、電話番号、FAX番号、メールアドレス、勤務先、会員ID、暗号化されたパスワード
さらに、購入者情報のうち約209万6900人分については、クレジットカードの名義、有効期限、ならびにカード番号の一部（先頭6桁と下4桁）が漏えいしたことが判明しています。ただし、Eストアーは完全なカード番号やセキュリティコードを社内に保持していないため、今回流出した情報単体で不正なクレジットカード決済が行われる可能性はないと説明しています。また、漏えいした会員情報にはログイン先の店舗を特定する情報が紐付いていないことから、マイページ等への不正ログインが行われるリスクも極めて低いとされています。
外部EC基盤を利用する日本の組織が確認すべきセキュリティ対策
今回の事案は、多くのECサイトが依存するプラットフォーム側のアプリケーション脆弱性が突かれ、甚大な規模の情報漏えいにつながった事例です。自社でECサイトを構築・運営している組織はもちろん、外部のASPやSaaS型のプラットフォームを利用してビジネスを展開している日本の企業にとっても、サプライチェーン全体のリスクを再認識する契機となります。
同様のECサービスや外部プラットフォームを利用している組織においては、直ちに関連するアカウントの状況を確認することが求められます。具体的には、以下の手順に沿った確認と対策の実施が推奨されます。
- プラットフォームの管理画面で利用しているIDやパスワードを直ちに変更し、他システムとの使い回しを排除する
- 自社で運用・委託しているWebアプリケーションや関連サーバに未修正の脆弱性が残存していないか、緊急の診断や点検を行う
- 万一の流出事案に備え、顧客や取引先からの不審な問い合わせやフィッシングメールの兆候を監視・把握できる連絡体制を整える
クラウドやSaaSの利用が一般化する中、委託先や利用プラットフォームで発生したインシデントが自社の顧客やブランドの信頼性に直結するリスクが高まっています。提供元から発表されるセキュリティアナウンスを迅速に把握し、必要な認証強化や設定の見直しを速やかに行える体制を日頃から整備しておくことが重要です。
参考文献・記事一覧
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
最新の投稿
2026.10.18「ショップサーブ」不正アクセスで約2335万人分の情報流出、アプリ脆弱性が原因- 2026.10.18BeyondTrust製品に重大な脆弱性、中国関連グループがゼロデイ攻撃に悪用
- 2026.10.17ソースネクストで約2251万件の会員情報流出か、API悪用による不正アクセスが判明
- 2026.10.17Fortinet製品を狙うメモリ常駐型マルウェア「PEERSTITCH」の脅威とVPN検証回避の手口
