トップ ＞ テクノロジー

BASE子会社の不正アクセス被害、最終報で約2335万人分に拡大

内容

何がどれだけ漏えいしたのか

BASEの完全子会社であるEストアーは10月16日、独自ドメインのネットショップを作るためのサービス「ショップサーブ」が不正アクセスを受けた件で最終報を公表しました。漏えいの対象は約2335万6000人分です。この件は8月に公表され、当初は最大約885万件とされていましたが、詳しく調べた結果、規模が大きくなりました。Eストアーは2025年7月にBASEが全株式を取得して子会社にした会社です。

対象となった店舗は、現在ショップサーブを使っている店舗と過去に使っていた店舗を合わせて7858店です。漏えいしたのは各店舗で買い物をした人や会員の情報だけではありません。店舗の運営者やアフィリエイターの情報も含まれています。

• 購入者・会員：氏名、住所（配送先を含む）、電話番号、FAX番号、メールアドレス、勤務先、会員ID、暗号化されたパスワード
• カード情報（約209万6900人分）：カード名義、カード番号の先頭6桁と下4桁、有効期限
• 店舗：管理画面のログインIDとパスワード、コンビニ払込票に載っている販売責任者名・店舗名・住所・電話番号など
• アフィリエイトプログラム登録者：メールアドレスとパスワード

第2報では、店舗メールシステムやFTPのIDとパスワード、Eストアーからの振込先口座情報も対象とされていました。しかしその後の調査で、これらは漏えいしていなかったことが分かりました。

カード情報は悪用されるおそれがあるのか

同社はカード番号のすべてとセキュリティコードを保持していませんでした。そのため、漏えいした情報だけでは決済できないと説明しています。また、会員情報にはどの店舗にログインするためのものかを示す情報が含まれていません。このため、パスワードが悪用されたり、会員のマイページに不正にログインされたりする可能性は低いとしています。現時点では、二次被害の報告やダークウェブへの流出は確認されていません。

なぜ起きたのか

不正アクセスは5月21日から8月1日まで続いていました。第三者がサーバ上のアプリケーションの脆弱性を突いて不正なプログラムを動かし、データベースの情報を外部へ送っていたということです。同社は8月1日にこれに気づき、攻撃元との通信を遮断しました。調査では、この経路以外からの侵入や、バックドアなど不正なプログラムが仕掛けられた形跡は見つかっていません。

会社の対応と利用者が取るべき行動

同社は脆弱性を修正し、認証情報をリセットしました。あわせて、アプリケーションとサーバの脆弱性診断や認証の強化も行いました。対象者への個別連絡は終わっています。連絡先が分からない人に対しては、今回の公表と問い合わせ窓口の設置で代わりとするとしています。グループ会社のサービスは別の環境で運用しており、漏えいはないとしています。利用者に向けた具体的な注意点や補償の有無については、現時点で明らかになっていません。

注目ポイント

当初の発表から対象者が大きく増え、2000万人を超えた点が関心を集めています。個人で運営するショップではなく、企業が独自に運営する通販サイトの裏側で使われていたサービスのため、利用していたと気づいていない購入者も多いとみられます。最近は運送会社や旅行予約サイトなどでも漏えいの公表が続いており、今回の件はその中でも規模の大きさが際立っています。

ネットでの反応

SNSなどネット上では、2300万人を超えるという規模の大きさに驚く声が目立ちます。一方で、カード情報が漏れたのはショップサーブを使った通販サイトで買い物をした人だと整理したうえで、16桁のカード番号のうちどれだけが分かってしまうのかを計算してみる投稿も見られます。報道が伝えた「漏えいした情報だけでは決済できない」という説明だけでなく、番号のどこまでが分かったのかを自分で確かめようとする受け止め方も出ています。

参考記事

• BASE子会社の漏えい、約2335万人分に 209万人分はクレカ番号「先頭6桁と下4桁」「有効期限」もITmedia　2026年10月17日 09:32

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。