ショップサーブの不正アクセス（2026年8月）

経緯

入り口（経路）

サーバー上で動くアプリケーションの脆弱性

起きた期間

2026-05-21〜2026-08-01

会社が気づいた日

2026-08-01

漏れた、または漏れたおそれのある情報

個人情報

購入者（配送先を含む）の氏名・住所・電話番号・FAX番号・メールアドレス・勤務先・そのほか任意で入力した情報

認証情報

会員（メールマガジンの会員を含む）の会員IDと、暗号化したパスワード。会社は、パスワードが特定される可能性は低いと判断している

取引の情報

クレジットカードの情報の一部：カードの名義・カード番号の一部（先頭6桁と下4桁）・有効期限

認証情報

店舗の、ショップサーブの管理画面のログインIDとパスワード。アフィリエイトプログラムに登録した人のメールアドレスとパスワード

個人情報

コンビニの払込票に書かれた店舗の情報：販売責任者の氏名・店舗名・郵便番号・住所・電話番号・FAX番号

そのほか

含まれないもの：完全なカード番号とセキュリティコード（会社が持っていない）。漏れた情報だけでは、クレジットカードで支払うことはできない。第2報で対象とした、店舗のメールシステムのIDとパスワード、FTP のIDとパスワード、会社からの振込先の口座の情報は、調査の結果、対象に含まれないと確認された

会社の対応

2026-08-01 に攻撃元からの通信を遮断し、遮断の後はアクセスできないことを確かめた。それ以降は攻撃が成り立っていないことも確かめた。悪用された脆弱性を直し、影響の範囲を点検し、認証情報のリセットなどをした。外部の専門機関のフォレンジック調査は完了し、確定した経路のほかからの侵入や、バックドアなどの不正なプログラムの設置は無かったと確かめた。対象の購入者・店舗・アフィリエイターへの個別の連絡は終えた（連絡先が分からない人には、発表と問い合わせ窓口が案内の代わり）。再発防止として、残っている脅威の調査、アプリケーションとサーバーの脆弱性の診断と直し、管理画面などの認証の強化（二要素認証や二段階認証を含む）をした。二次被害の報告は確認されていない。外部の専門機関の調査で、ダークウェブへの流出も確認されていない。関係会社のサービスは別の環境で動いていて、攻撃の対象に含まれず、情報は漏れていない

届け出

個人情報保護委員会と関東総合通信局へ報告書を出した。所轄の警察署へ相談などをしている