📡 Signal｜Eストアーのショップサーブ、漏えい対象は約2,336万人に

ネットショップの構築サービス「ショップサーブ」を運営する Eストアーは10月16日、8月に発覚した不正アクセスの調査を終え、漏えいの対象が約2,335万6,000人、7,858店にのぼると最終報で公表した。このうち約209万6,900人分は、カードの名義と番号の一部 (先頭6桁と下4桁)、有効期限を含む。

8月の第1報が示した数字は「延べ8,853,839件」だった。件数は人数ではないと断っていたその数字に対し、最終報は対象の範囲を店舗やアフィリエイトの登録者にも広げ、名寄せした人数で示した。人数は第1報の件数の約2.6倍になる。一つの事業者の基盤に、何千もの店の顧客が同居している構造が、漏えいの規模をそのまま決めた。

延べ885万件から、名寄せした2,336万人へ

Eストアーの3回の発表を並べると、数字と中身がどう動いたかが分かる。

• 8月1日 (第1報) — 8月1日の午前9時9分から11時6分ごろに、第三者がサーバー上で不正なプログラムを実行し、購入者の情報を外部へ送ったと公表。対象は最大で延べ8,853,839件。同じ人の複数の登録を含みうるため、人数ではないと注記した
• 8月2日 (第2報) — 不正の始まりを5月21日までさかのぼって確認。会員 ID とパスワード、カード情報の一部、店舗の管理画面のログイン情報、メールシステムと FTP のログイン情報、Eストアーからの振込先の口座情報も対象に加えた
• 10月16日 (最終報) — 外部の専門機関による調査が完了。対象は約2,335万6,000人、7,858店。数え方は、購入者・会員に店舗の運営者とアフィリエイトの登録者を加え、複数の項目の一致で重複を除いた概数だとしている

最終報は、第2報で対象に入れた店舗のメールシステムと FTP のログイン情報、振込先の口座情報を、調査の結果「含まれていない」として外した。対象の人数は増え、店舗側の情報の範囲は狭まった。

攻撃は約2か月半、気づいたのは最後の日

最終報によると、第三者は5月21日から8月1日まで、サーバーで動くアプリケーションの脆弱性を突いて不正なプログラムを実行し、データベースの情報を外部へ送り続けていた。Eストアーが気づいたのは8月1日で、その日に攻撃元との通信を断った。侵入の経路はこの1つだけで、裏口 (バックドア) となるプログラムの設置は見つからなかったという。

漏れた情報は購入者の側と店舗の側に分かれる。

• 購入者・会員 — 氏名、住所、電話番号、メールアドレス、勤務先など。会員 ID と暗号化されたパスワード。一部の人はカードの名義と番号の一部、有効期限
• 店舗・アフィリエイト — ショップサーブの管理画面のログイン ID とパスワード、コンビニ払込票に載る店舗の情報、アフィリエイトの登録者のメールアドレスとパスワード

Eストアーは、カードの番号全体とセキュリティコードはもともと持っておらず、漏れた情報だけでは決済できないと説明する。パスワードは暗号化されており、どの店のものかを結びつける情報も漏れていないため、悪用の可能性は低いと判断した。最終報の時点で二次被害の報告はなく、外部の調査ではダークウェブへの流出も確認されていない。

1社の基盤に7,858店が乗っていた

ショップサーブは、中小の店が自分のネットショップを開くための基盤だ。買い物客は個々の店で注文しているつもりでも、データは同じ事業者のサーバーに集まる。今回の対象には、いま使っている店だけでなく、過去に使っていた店も含まれる。

買い物客の側からは、自分の情報がどの基盤に置かれているかは見えない。最終報も、利用した店の名前の確認を Eストアーの窓口で受け付けると書いている。店の数だけ窓口があるように見えて、守りの要は1か所に集まっていた。約2か月半のあいだ攻撃に気づけなかったのも、その1か所だ。

注意すべきは、漏れた情報そのものより、それを使った「なりすまし」だ。氏名、住所、電話番号、メールアドレスに、カード番号の先頭と末尾がそろうと、カード会社や店を装った連絡はもっともらしく見える。Eストアーは、本件でカード情報の再入力や再決済を求めることはなく、メールや SMS でパスワードを尋ねることもないとしている。

次に見るもの

確認先は、個人情報保護委員会の公表と、カード会社の不正利用の注意喚起だ。Eストアーは委員会と関東総合通信局に報告書を出しており、委員会が指導や勧告に踏み込むかどうかが、基盤を提供する事業者の責任の線引きになる。買い物客の側は、この数か月の明細に覚えのない請求がないかを確かめ、ショップサーブの店で使ったパスワードをほかのサービスでも使っていれば変える。

ことば

• 名寄せ — 複数の登録データを、氏名や住所などの一致から同じ人のものとしてまとめる作業。第1報の「延べ件数」は登録の数で、名寄せを経て初めて人数が出る。Eストアーは一致の基準に満たない重複は残るとして、人数を概数とした。
• フォレンジック調査 — 不正アクセスの後、サーバーの記録や残ったデータを専門家が解析し、侵入の経路、期間、持ち出された範囲を確かめる調査。今回は約2か月半かけて完了した。
• SaaS 型の EC 基盤 — 店がサーバーを持たず、事業者が用意した共通の仕組みの上でネットショップを開く形。手軽に開ける代わりに、顧客のデータは事業者の側に集まる。

🔗 一次ソース

• Eストアー：不正アクセスによる個人情報漏えいに関するお知らせ（最終報・10月16日・約23,356,000人、7,858店、カード情報の一部は約2,096,900人）ＥＣサイト構築・ネット通販総合支援の【Ｅストアー】 | Ｅストアーのサービスは、自社ECの「繁盛店作り」に必要な全てを取り揃えています。自社EC構築〜グロースハ
• Eストアー：同（第2報・8月2日・不正の始まりは5月21日、対象情報の追加）ＥＣサイト構築・ネット通販総合支援の【Ｅストアー】 | Ｅストアーのサービスは、自社ECの「繁盛店作り」に必要な全てを取り揃えています。自社EC構築〜グロースハ
• Eストアー：同（第1報・8月1日・最大で延べ8,853,839件）ＥＣサイト構築・ネット通販総合支援の【Ｅストアー】 | Ｅストアーのサービスは、自社ECの「繁盛店作り」に必要な全てを取り揃えています。自社EC構築〜グロースハ
• NHK ニュース公式 X の速報（10月16日）