Eストアー情報漏洩｜購入者・会員・店舗・アフィリエイターの漏洩情報と影響範囲を詳しく解説【2335万人事件】

情報漏洩・セキュリティ事故まとめ

2026.10.16

Eストアー（BASE子会社）の「ショップサーブ」不正アクセス事件では、 23,356,000人分の個人情報が漏洩したことが確定している。その中には購入者・会員・店舗運営者・アフィリエイターといった複数の層が含まれ、それぞれ異なる種類の情報が流出した。

本章では、公式最終報に基づき、「どの層がどの情報を失ったのか」「どのような影響が考えられるのか」を整理していく。

1．購入者情報（配送先を含む）

購入者情報は、個人特定が容易なフルセット。住所・電話・メールが揃っているため、フィッシングメール・SMS・電話詐欺・DM送付などの二次利用リスクが高い。

特に「勤務先」や「備考欄」は、個人の職業・生活パターンが推測されるため、 標的型攻撃（スピアフィッシング）に悪用される可能性がある。

パスワードは暗号化されているため、 現時点で復号の可能性は低いとされている。ただし、同一パスワードを他サービスで使い回している場合、 総当たり攻撃（ブルートフォース）による照合リスクが残る。

また、漏洩した情報には「ログイン先店舗の紐付け情報」が含まれていないため、直接的な不正ログインは難しいが、 メールアドレス＋IDの組み合わせは他サイト攻撃に転用されやすい。

完全なカード番号やセキュリティコード（CVV/CVC）は保持されていないため、 直接決済に悪用される可能性は低い。しかし、名義・部分番号・有効期限が揃うことで、 偽装問い合わせ・カード会社へのなりすましが可能になる。

また、これらの情報はフィッシングメールの「信憑性強化」に使われるため、 心理的な被害（信用詐欺）が発生しやすい。

店舗側のログイン情報が漏洩したことで、 管理画面への不正ログインリスクが発生。商品情報・顧客データ・注文履歴などが改ざんされる可能性がある。

また、店舗責任者の氏名・住所・電話番号が漏洩しているため、 なりすまし店舗の開設や偽サイト誘導などの詐欺行為にも悪用され得る。

アフィリエイト登録情報が漏洩したことで、 報酬受け取り口座のなりすまし申請や 不正ログインによる報酬改ざんのリスクがある。

また、メールアドレスが流出しているため、 アフィリエイト詐欺メールや偽キャンペーン誘導が増える可能性が高い。

調査の結果、以下の情報は漏洩対象から除外された：

これらはサーバー構成上、攻撃経路と分離されていたため、侵害を受けていないことが確認されている。

今回のEストアー事件では、 購入者・会員・店舗・アフィリエイターの4層構造で情報が漏洩した。特に購入者情報と店舗情報は、個人特定が容易な内容を含み、 フィッシング・なりすまし・詐欺誘導などの二次被害リスクが高い。

一方で、暗号化されたパスワードや部分的なカード情報は直接的な決済被害にはつながりにくいものの、 心理的・信用的な被害を生む可能性がある。

この事件は、「ECプラットフォームに依存する中小事業者の脆弱性」「購入者情報の多層管理の難しさ」を浮き彫りにした。

次章では、 攻撃手法の分析と技術的な脆弱性の構造を掘り下げていく。