2026年10月16日、BASE子会社でECサイト支援を手がける 株式会社Eストアー が、 合計 23,356,000人（約2335万6000人） に及ぶ個人情報漏洩を正式に公表した。 さらにそのうち 2,096,900人（約209万6900人） は、 クレジットカード情報の一部（名義・先頭6桁＋下4桁・有効期限）まで漏洩していたことが判明した。
これは、 日本国内の情報漏洩事件として過去最大級の規模であり、 EC業界・中小事業者・購入者・アフィリエイターに広範囲の影響を与える重大インシデントだ。
本記事では、公式最終報をもとに 「何が起きたのか」「どれほどの規模なのか」「どんな情報が漏れたのか」 を総合的に整理する。
1．攻撃の発生概要（確定）
- 攻撃期間：2026年5月21日〜8月1日
- 外部の第三者が、Eストアーの「ショップサーブ」アプリケーションの脆弱性を悪用
- 不正なプログラムを実行し、データベース内の情報を外部へ送信
- 8月1日に攻撃元を遮断
- バックドアや別経路の侵害はなし
- フォレンジック調査により侵入経路は1つに限定
攻撃期間が 2ヶ月以上 に及んだことから、 大量の情報が継続的に吸い出されていた可能性が高い。
2．漏洩した情報（確定）
■ 購入者・会員（一般ユーザー）
- 氏名
- 住所
- 電話番号
- FAX番号
- メールアドレス
- 勤務先
- 任意入力情報
- 会員ID
- 暗号化されたパスワード（復号の可能性は低い）
■ クレジットカード情報（209万6900人）
- カード名義
- カード番号の先頭6桁＋下4桁
- 有効期限 ※完全なカード番号・セキュリティコードは保持していないため決済は不可
■ 店舗・アフィリエイター
- 管理画面ログインID・パスワード
- コンビニ払込票の店舗情報
- アフィリエイト登録情報（メール・パスワード）
■ 除外された情報（漏洩なし）
- 店舗メールシステムのログイン情報
- FTPのID・パスワード
- 振込先口座情報
3．漏洩規模（確定）
| 区分 | 件数 |
|---|---|
| 漏洩対象者数（総数） | 23,356,000人 |
| クレカ情報の一部漏洩 | 2,096,900人 |
| 対象店舗数 | 7,858店 |
これは、 Yahoo! JAPANの旧漏洩事件（約2200万人）を超える規模であり、 日本の情報漏洩史でも最大級の数字。
4．二次被害の状況
- 現時点で 具体的な二次被害は確認されていない
- ダークウェブへの流出も確認されていない
- ただし、フィッシング・なりすましのリスクは高い
- クレカ情報の一部が漏洩しているため、偽装問い合わせなどの悪用可能性は残る
5．企業の対応状況
- 攻撃元の遮断（8月1日）
- 脆弱性修正
- 認証情報のリセット
- フォレンジック調査完了
- 個人情報保護委員会・総務省への報告
- 店舗・購入者・アフィリエイターへの通知
- 専用問い合わせ窓口の設置
- 再発防止策（脆弱性診断・二要素認証導入など）
まとめ
今回のEストアー（BASE子会社）による 2335万人規模の個人情報漏洩は、 日本国内の情報漏洩事件として過去最大級の深刻なインシデントだ。
攻撃期間は2ヶ月以上に及び、 購入者・会員・店舗・アフィリエイターなど多層の情報が漏洩し、 さらに 209万人のクレジットカード情報の一部まで流出した。
現時点で二次被害は確認されていないものの、 フィッシング・偽装問い合わせ・なりすましのリスクは依然として高く、 利用者側の警戒が必須となる。
本件は、 EC業界のセキュリティ体制の脆弱性 中小事業者が依存するプラットフォームのリスク を浮き彫りにした重大な事案であり、 今後の再発防止策と業界全体のセキュリティ強化が強く求められる。
コメント