BASE子会社の「Eストアー」、2336万人の情報漏えい

BASE子会社のEストアーは16日、ECサイト構築システム「ショップサーブ」で8月に発生した不正アクセスによる情報漏えいに関して、一連の調査が完了したと発表した。最終的な情報漏えいの対象者は約2,335万6,000人、対象店舗は7,858店。また、約209万人については、クレジットカード情報の一部(カード名義、カード番号の一部)などを含んでいる。

報告によれば、攻撃者は2026年5月21日から8月1日にかけて、Eストアーのサーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベース情報を外部に送信していた。

漏えい情報の内容は店舗/アフェリエイターと店舗で異なる。

店舗/アフェリエイターはECサイト管理画面のログイン情報(IDとパスワード)、コンビニ支払い票に記載された店舗情報(販売責任者の氏名、店舗名、郵便番号、住所、電話番号、FAX番号)、アフェリエイトプログラム登録者情報(メールアドレスとパスワード)。

購入者は購入者情報(氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、その他任意の入力情報)、会員情報(会員IDとパスワード)、クレジットカード情報(クレジットカード番号の先頭6桁と下4桁およびカード名義)。

このうち購入者の会員パスワードは暗号化しており、攻撃者にパスワードを特定される可能性は低いとしている。またクレジットカード番号についてはEストアー側で完全な番号を保持しておらず、漏えいした情報だけで決済を行なうことはできないという。

なお8月1日に情報漏えいが判明して以降は攻撃元からの通信を遮断し、それ以来は攻撃が成立していないことを確認済み。再発防止策を講じ、外部の専門機関による調査では漏えい情報のダークウェブへの流出も確認していないとしている。

Eストアーでは本件への対応として当該アプリケーションの脆弱性修正と影響範囲の点検、認証情報のリセット、漏えい対象者/店舗への通知、外部機関によるフォレンジック調査の実施、関係機関への報告を行なった。