Eストアー「ショップサーブ」個人情報漏えいメールが届いたらどうする？パスワード変更・購入店舗の探し方・カード対応を解説

2026年8月、株式会社Eストアーが提供するECシステム「ショップサーブ」で大規模な個人情報漏えいが公表されました。Eストアーを直接利用した記憶がない人でも、過去にショップサーブを採用しているネットショップで商品を購入していれば、購入者情報が対象になっている可能性があります。

重要なのは、「Eストアーという店で買った覚えがない＝無関係」とは限らないことです。ショップサーブはネットショップを運営する店舗向けのECプラットフォームであり、購入者はEストアーの名前を意識せず利用していることがあります。また、「ショップサーブ管理画面」へ購入者がログインしようとしても、それは基本的に店舗運営者側の管理画面なので、購入者のID・パスワードではログインできません。

この記事では、Eストアーの情報漏えいで実際に何が起きたのか、届いたメールを本物と判断してよいのか、自分が利用したショップをどう探すのか、変更すべきパスワードが分からない場合の対応、クレジットカードを停止・再発行すべきかまで、2026年8月28日時点の公式発表をもとに整理します。

Eストアー「ショップサーブ」の情報漏えいは実際に公式発表されている

今回の情報漏えい事件そのものは架空のものではありません。株式会社Eストアーは2026年8月1日、同社が運営する「ショップサーブ」のサーバーに対する外部からの不正アクセスによって、購入者情報が外部へ漏えいしたことを公式に発表しました。

[参照] 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」

さらに翌8月2日に公表された第2報では、調査の結果、2026年5月21日から8月1日までの期間に、外部の第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信していたと説明されています。

[参照] 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（第2報）」

したがって、「Eストアーから個人情報漏えいの連絡が来た」という出来事自体は、実際に発生している公式のセキュリティ事故と整合します。ただし、本物の事故が発生した後には、その事故を利用した便乗フィッシングも発生し得るため、届いたメールそのものが本物かどうかは別に確認する必要があります。

最大885万件超の「レコード」が漏えい対象として公表されている

Eストアーは第2報で、現時点の公表件数を8,853,839件としています。ただし、この数字は「885万人が被害に遭った」という意味ではありません。

公式発表では、同一の購入者に関する複数の登録データが含まれている可能性があり、対象人数を示すものではないと明記されています。

たとえば同じ人が複数のショップサーブ採用店舗で買い物をしていたり、同じ店舗を何度も利用していたりすれば、同一人物に関する複数の情報が件数として含まれている可能性があります。そのため公表された約885万件から実際の人数を計算することはできません。

漏えいした可能性がある情報は何か

2026年8月2日の第2報では、購入者関連情報として次の情報が漏えい対象に含まれると公表されています。

• 氏名
• 住所・配送先情報
• 電話番号
• FAX番号
• メールアドレス
• 勤務先
• 購入時などに任意入力した情報
• 会員情報
• 会員ID
• パスワード
• クレジットカード名義
• カード番号の先頭6桁と下4桁
• カード有効期限

なお、Eストアーによると、会員ID・パスワードは暗号化された状態で管理されており、現時点では悪用される可能性は低いと判断されています。ただし、不正ログインのおそれを考慮してパスワード変更が案内されています。

また、クレジットカード番号については完全な番号ではなく、先頭6桁と下4桁が対象とされています。セキュリティコード（CVV・CVC）はEストアーでは保持しておらず、漏えい対象には含まれていないとされています。

8月1日の第1報と8月2日の第2報で内容が変わっている点に注意

この件を調べる際に混乱しやすいのが、8月1日の最初の発表と8月2日の第2報で、判明している内容が異なることです。

8月1日の第1報では、氏名・住所・電話番号・メールアドレスなどが漏えいしたとされる一方、当時の発表では購入者情報にパスワードは含まれていないとの説明がありました。

しかし翌8月2日の第2報では、調査の進展により、会員ID・暗号化されたパスワード、カード名義、カード番号の一部、有効期限なども漏えい対象だったことが追加されています。

そのため、対応を判断するときは8月1日の第1報だけではなく、より新しい第2報以降の情報を基準にすることが重要です。

Eストアーを利用した覚えがなくてもメールが届く理由

「株式会社Eストアーから直接商品を買った覚えがない」「ショップサーブというサイトを利用した記憶がない」という人にも通知が届く可能性があります。

ショップサーブは、Eストアー自身が一般消費者向けの商品を販売する一つの通販サイトではなく、さまざまな企業・店舗がネットショップを構築・運営するためのECシステムです。

[参照] ショップサーブ公式サイト

たとえば「○○食品オンラインショップ」「△△雑貨店」のような独自ショップで買い物した際、その裏側のカート・会員・注文システムとしてショップサーブが使用されていた可能性があります。購入者から見えるサイト名やドメインがショップサーブではないこともあるため、Eストアーという名前を覚えていなくても不思議ではありません。

「ショップサーブ管理画面」にログインできなくてもおかしくない

今回の件で特に間違えやすいのが、「ショップサーブ管理画面」に自分のメールアドレスやパスワードを入れて確認しようとすることです。

ショップサーブの管理画面は原則としてネットショップを運営する店舗側が利用するものです。購入者が商品の注文履歴を見るための共通ログイン画面ではありません。

そのため、購入者がショップサーブ管理画面で「ショップID、またはパスワードが違います」と表示されても、自分の個人情報が登録されていない証拠にはなりません。単にアクセスしているログイン画面の種類が違う可能性が高いからです。

また、Eストアーの第2報には店舗側の「ショップサーブ管理画面のログインID・パスワード」も漏えい情報として記載されていますが、これは店舗運営者向けの認証情報です。購入者の会員ID・パスワードとは別物です。

購入者の会員アカウントは「店舗ごと」に存在する

ショップサーブを使ったネットショップで会員登録した場合、一般的にはそのショップの会員としてログインします。「ショップサーブ」という一つの共通サイトへログインして、すべての店舗の購入履歴を見る仕組みだと考えない方がよいでしょう。

たとえばA店で会員登録した場合はA店のマイページ、B店で登録した場合はB店のマイページという形になります。そのため、パスワードを変更しようとしても、まずどのショップで会員登録していたのかを特定する必要が生じる場合があります。

また、ネットショップでは会員登録をせず「ゲスト購入」ができる場合もあります。その場合、氏名・住所・電話番号・メールアドレス・配送先などの注文情報は存在していても、そもそも変更対象となる会員パスワードが存在しない可能性があります。

メールが届いたからといって必ず会員パスワードが漏れたとは限らない

Eストアーの公式発表では、漏えいした情報の種類は複数ありますが、すべての購入者についてすべての項目が漏えいしたとは限りません。

過去に会員登録せず商品を購入しただけなら、注文時の氏名、住所、メールアドレスなどは登録されていても、ショップ会員としてのパスワードは持っていないことがあります。

反対に、そのショップで会員登録をしていた場合は、会員IDや暗号化されたパスワードが対象になっている可能性があります。自分がどちらなのか分からない場合は、推測でログイン画面を探し続けるより、Eストアーの公式問い合わせ窓口へ確認する方が確実です。

どのネットショップを利用したのか分からないときの探し方

購入店舗が思い出せない場合は、まず過去の記録から候補を絞ります。特に役立つのがメール、クレジットカード利用明細、ブラウザ履歴、通販商品の発送記録です。

メールを削除していない場合は、「ご注文ありがとうございます」「注文確認」「発送しました」「ショップサーブ」「Eストアー」「お買い上げ」などのキーワードで検索すると見つかる可能性があります。

メールを削除している場合は、クレジットカードの過去の利用明細を確認します。ただし、カード明細の加盟店名と実際のショップ名が完全に一致するとは限らないため、心当たりのある通販決済の日付や金額から購入履歴をたどります。

Google Chromeなどのブラウザを利用している場合は、履歴が残っていれば過去に訪問したショップのドメインを確認できることもあります。パスワードマネージャーに保存されたログイン情報から通販サイトを探す方法もあります。

メールを削除していて店舗を特定できないならEストアーへ直接確認する

過去の注文メールを消してしまい、どのショップを利用したのか分からない場合は、無理にネット検索だけで特定しようとせず、Eストアーへ問い合わせる方法があります。

2026年8月2日の公式発表では、購入者向けの問い合わせ窓口として株式会社Eストアー「個人情報に関するお客様ご相談窓口」が案内され、メールアドレスとして「support@estore.co.jp」が掲載されています。

[参照] Eストアー公式第2報・購入者向け問い合わせ窓口

問い合わせる際は、「漏えい対象として案内を受けたが、どのショップの購入情報なのか分からない」「変更対象となる会員ID・パスワードがあるのか確認したい」と具体的に伝えるとよいでしょう。

ただし本人確認や調査状況によって、Eストアーがどの範囲まで個別情報を回答できるかは異なる可能性があります。回答できる内容は同社の案内に従ってください。

メール本文の問い合わせリンクはクリックせず公式サイトから確認してもよい

今回の情報漏えいは本物ですが、それを口実にした便乗フィッシングが今後発生する可能性があります。そのため、不安な場合はメール本文に記載されたリンクから問い合わせる必要はありません。

ブラウザから自分で「estore.jp」を開き、公式発表のページを確認し、そこに記載されている正式な問い合わせ先を利用すれば、メール自体の真偽に依存せず安全に確認できます。

Eストアー自身も、同社や利用店舗、カード会社などを装った不審なメール・SMS・電話に注意するよう呼びかけています。再決済、本人確認、返金などを理由にカード情報、パスワード、認証コードなどを入力するよう求められても応じないことが重要です。

本物の漏えい通知を利用した「便乗詐欺」に特に注意

情報漏えい事件の後は、攻撃者が漏えいした氏名やメールアドレスなどを利用して、本物らしいフィッシングメールを作成する可能性があります。

たとえば「Eストアー情報漏えいに伴うカード再登録」「ショップサーブ返金手続き」「セキュリティ確認のためログインしてください」といった連絡が届いた場合、実際の事件を知っているほど信じやすくなります。

しかも相手が自分の本名、住所、過去の購入情報などを知っていると、本物の連絡に見える可能性があります。しかし、漏えいした個人情報を知っていること自体が相手の正当性を証明するわけではありません。

カード番号全桁、セキュリティコード、現在使用しているパスワード、SMS認証コードなどを要求された場合は、その場で入力せず公式窓口から確認してください。

パスワードが分からない場合は「使い回し対策」を先に行う

利用したショップを特定できず、そのショップのパスワードをすぐ変更できない場合でも、今すぐできる重要な対策があります。それが、他サービスで同じまたは似たパスワードを使っていないか確認することです。

Eストアーも第2報で、漏えいした会員ID・パスワード・メールアドレスと同一または類似する情報を他サービスで使用している場合、速やかにパスワードを変更するよう案内しています。

たとえば通販サイトで「Abc12345」というパスワードを使い、同じものをGoogle、Amazon、楽天、SNSなどでも利用していた場合は、ショップを特定するのを待たず、それら重要サービスのパスワードを別々のものへ変更した方が安全です。

「暗号化されているから何もしなくていい」ではない

Eストアーは漏えいしたパスワードについて暗号化された状態で管理され、現時点では悪用される可能性は低いとしています。しかし、これは「絶対に解読されない」「パスワード変更は不要」という意味ではありません。

実際にEストアー自身が、第2報で速やかなパスワード変更を購入者へ依頼しています。

また、パスワードそのものが解読されなくても、メールアドレスや会員IDなどの情報が攻撃者に渡ったことで、別サービスへのパスワードリスト攻撃、フィッシング、なりすましなどに利用される可能性があります。

パスワードはサービスごとに別のものを設定する

IPAも、複数のサービスで同じパスワードを使い回すと、一つのサービスで認証情報が漏えいした際に、他のサービスまで不正ログインされるおそれがあるとして、使い回しを避けるよう推奨しています。

[参照] IPA「情報セキュリティ10大脅威」

今後は「通販用の同じパスワードを複数ショップで使う」のではなく、サイトごとに異なるパスワードを設定することが重要です。覚えきれない場合は、OS・ブラウザのパスワード管理機能や信頼できるパスワードマネージャーを利用すると管理しやすくなります。

多要素認証が利用できるGoogle、Microsoft、Amazon、SNS、金融サービスなどでは、多要素認証も有効にしておくと、不正ログインに対する防御を強化できます。

購入者向けマイページの認証方式も8月6日に変更されている

Eストアーは情報漏えい公表後の2026年8月6日、購入者向けマイページのログイン認証システムをセキュリティ強化のため変更したと発表しています。

[参照] ショップサーブ「購入者向けマイページのログイン認証システム変更のお知らせ」

公式案内では、大半の購入者は従来どおり利用できる一方、過去に仮パスワードを発行し、そのまま利用している一部の購入者は認証エラーになる場合があり、その場合は各ショップのログイン画面にある「パスワードをお忘れの方はこちら」から再設定するよう案内されています。

ここでも重要なのは、Eストアー本体の店舗管理画面ではなく、自分が会員登録したネットショップ側の購入者用マイページから再設定するという点です。

クレジットカードは直ちに停止・再発行しなければならない？

Eストアー第2報によると、漏えいした可能性があるカード情報は「カード名義」「カード番号の先頭6桁・下4桁」「有効期限」で、カード番号の中間部分やセキュリティコードは漏えい対象として公表されていません。

そのため、今回公表されている情報だけから通常のカード決済に必要な完全なカード番号がそのまま判明するわけではありません。

メールでも「本件を理由として直ちにクレジットカードの停止・再発行を行う必要はない」と案内されている場合、まずは利用明細を継続的に確認し、不審な請求がないか監視する対応が現実的です。

ただし、カード会社から別途再発行の案内が届いた場合、身に覚えのない決済を発見した場合、フィッシングサイトへカード番号全桁やセキュリティコードを入力してしまった場合は状況が異なります。その場合は、カード裏面や公式アプリに記載された正規のカード会社窓口へ速やかに連絡してください。

カード明細は数か月間継続して確認する

情報漏えい後の不正利用は、事件直後に必ず起きるとは限りません。攻撃者が入手した情報を後日利用したり、別の犯罪者へ渡したりする可能性も考えられます。

そのため、カードを直ちに再発行しない場合でも、利用通知をオンにし、カード明細を定期的に確認することをおすすめします。

少額の身に覚えのない請求についても「数百円だから問題ない」と放置せず、カード会社へ確認します。不正利用者がカードの有効性を確かめるために少額決済を行う可能性も一般論としてあるためです。

メールアドレス・氏名・住所の漏えいで想定される二次被害

カードの完全な情報が漏れていなくても、氏名、住所、電話番号、メールアドレスなどの組み合わせには注意が必要です。

これらの情報があれば、「○○様」「○○県○○市にお住まいのお客様へ」といった本人向けに見えるメールやSMSを作成できるため、通常の迷惑メールより説得力の高いフィッシングに悪用される可能性があります。

特に今後、「ショップサーブ」「Eストアー」「以前利用したネットショップ」「カード会社」を名乗る連絡は慎重に確認してください。本名や住所を知っているから本物、とは判断しないことが重要です。

電話で本人確認を求められた場合もその場で答えない

情報漏えい後には、メールだけでなく電話を使ったなりすましにも注意が必要です。

「Eストアーの情報漏えい対応です」「カード交換のため本人確認します」などと言われ、カード番号、暗証番号、認証コード、パスワードなどを聞かれても、その場で回答しないでください。

一度電話を切り、公式サイトやカード裏面など、自分で確認した正規の電話番号へかけ直して事実確認する方法が安全です。

知恵袋やSNSに同じ被害報告が見つからなくても不自然とは限らない

大規模な情報漏えいなのにQ&Aサイトで質問が見つからないと、「このメール自体が偽物なのでは」と感じることがあります。しかし、Q&Aサイトへの投稿件数だけでは本物・偽物を判定できません。

今回の事件については、Eストアー公式サイトに2026年8月1日と8月2日の正式な発表が存在しており、ショップサーブ公式サイトにも関連のお知らせが掲載されています。そのため、SNSや知恵袋で同様の質問が見当たらないことより、公式一次情報を優先して判断すべきです。

また、公表された8,853,839件は人数ではなくデータ件数です。通知時期や個別対象者への連絡方法も一律とは限らないため、「数百万人が同じ日に同じメールを受け取っているはず」と推測することもできません。

届いたメールが本物か確認する方法

今回のように実在する情報漏えい事故についてメールが届いた場合でも、メール中のリンクだけを根拠に本物だと判断しないようにします。

1. メール本文のリンクを押さず、ブラウザからEストアー公式サイトを自分で開く
2. 2026年8月1日・8月2日の情報漏えい発表が存在することを確認する
3. メール本文の内容と公式発表を比較する
4. 問い合わせる場合は公式発表に掲載された窓口を利用する
5. カード情報や現在のパスワード、SMS認証コードを要求された場合は入力しない

メール本文に本物と同じ公式URLが書かれているように見えても、HTMLメールでは表示文字列と実際のリンク先を別にすることができます。心配であればメール内リンクを使わず、公式サイトを直接開くのが確実です。

今から行う対策を優先順位で整理

優先度	対応
高	Eストアー公式サイトで今回の情報漏えいを確認する
高	同じ・似たパスワードを使っている重要サービスを変更する
高	Google・Amazon・金融・SNSなどで多要素認証を設定する
高	不審なメール・SMS・電話からカード情報や認証コードを渡さない
中	過去のメール・カード明細・ブラウザ履歴から利用店舗を探す
中	店舗を特定できなければEストアー公式窓口へ問い合わせる
中	カード利用通知をオンにして明細を継続確認する
状況次第	利用店舗を特定できたら店舗の購入者用マイページでパスワードを再設定する
状況次第	不審なカード決済があればカード会社へ連絡する

特にパスワードの使い回しがある場合は、利用店舗の特定より先に、メール、Google・Apple・Microsoftアカウント、Amazon、楽天、金融サービスなど重要度の高いアカウントから変更しておくと安全です。

利用したショップを特定できなくても対策はできる

「どの店舗だったのか分からないから、何もできない」と考える必要はありません。店舗を特定できなくても、他サービスのパスワード使い回しをなくす、多要素認証を設定する、カード利用通知を有効にする、不審な連絡を警戒する、といった重要な対策はすぐ実施できます。

さらにEストアーの公式窓口へ、「対象者向けの通知を受け取ったが利用ショップが分からず、パスワード変更先を特定できない」と相談できます。

購入店舗の特定と、現在使用している重要アカウントの防御は別々に進めることがポイントです。

もしすでに怪しいメールから情報を入力してしまった場合

今回の漏えい通知を装ったメールなどから、すでにパスワードを入力してしまった場合は、そのパスワードを使用しているすべてのサービスで速やかに変更します。

クレジットカード番号全桁、有効期限、セキュリティコードなどを入力してしまった場合は、今回Eストアーから漏えいした情報の範囲を超える情報を攻撃者へ渡したことになるため、カード会社へ連絡してください。

SMSで届いた認証コードを入力した場合も、不正ログインや決済に利用された可能性があるため、対象サービスの正規窓口へ速やかに確認します。

今回のケースで誤解しやすいポイント

よくある疑問	考え方
Eストアーで買った覚えがない	ショップサーブ採用店舗で購入していれば対象になり得る
ショップサーブ管理画面に入れない	店舗運営者向け管理画面なので購入者が入れなくても不自然ではない
どの店か分からない	メール・カード明細・履歴を確認し、不明ならEストアーへ相談
パスワードを忘れた	店舗が分かれば購入者用マイページから再設定。使い回し先は先に変更
カード決済した覚えがある	カード名義・番号の一部・有効期限が対象となった可能性がある
カードを今すぐ止めるべき？	公表情報だけで一律に停止する必要はないが、明細を監視し不正利用時はカード会社へ連絡
同じ質問がネットにない	投稿数は真偽判定の材料にならない。公式一次情報を確認する

特に「ショップサーブの管理画面に入れなかった」という点から、自分は対象ではないと判断しないよう注意してください。購入者と店舗運営者では利用する認証画面が異なります。

今後の追加発表もEストアー公式サイトで確認する

2026年8月28日時点で、Eストアーは今回の不正アクセスについて調査を継続しています。第1報から第2報までのわずか1日でも、漏えい期間や対象情報について追加事実が判明しています。

そのため、現在分かっている情報だけで対応を完全に終了したと考えず、今後の公式発表も確認することをおすすめします。

特に対象人数、漏えいした項目、個別通知、パスワード対応、カード対応などについて新たな案内が出た場合は、最新情報を優先してください。

まとめ：ショップサーブを知らなくても対象になり得る。まず使い回しパスワード対策と公式窓口への確認を

株式会社Eストアーの「ショップサーブ」で個人情報漏えいが起きたことは事実で、2026年8月1日・2日にEストアーから公式発表されています。第2報では、2026年5月21日から8月1日に不正アクセスがあり、購入者情報、会員ID・暗号化されたパスワード、カード名義、カード番号の一部、有効期限などが漏えい対象として公表されています。

Eストアーやショップサーブを直接利用した記憶がなくても、ショップサーブを採用したネットショップで買い物をしたことがあれば購入者情報が保存されていた可能性があります。また、ショップサーブの「管理画面」は店舗運営者用なので、購入者がログインできなくても異常ではありません。

購入したショップが分からない場合は、過去の注文メール、クレジットカード明細、ブラウザ履歴、保存済みパスワードなどから探し、それでも分からなければEストアーの公式購入者窓口へ問い合わせる方法があります。

店舗を特定するまで何もしないのではなく、同じまたは似たパスワードを使っている他サービスがあれば先に変更し、可能なサービスでは多要素認証を有効にしてください。カードについては公表された情報だけを理由に全員が直ちに停止・再発行する必要があるとはされていませんが、利用通知を有効にし、明細を継続確認することが重要です。

そして今後最も警戒すべきなのが二次被害です。Eストアー、購入店舗、カード会社などを名乗り、「返金」「再決済」「本人確認」「カード再発行」を理由にパスワード、カード番号全桁、セキュリティコード、SMS認証コードなどを求める連絡には応じないでください。本物か判断できない場合はメール内のリンクや電話番号を使わず、Eストアーやカード会社の公式サイトから正規窓口へアクセスして確認することが安全です。