Eストアー「ショップサーブ」の情報漏えい（延べ約885万件）：購入者のカード番号の一部と店舗のパスワードが漏れ、購入者と出店者がやること

Eストアーは対象店舗の一覧を公表していません。確かめる方法は次の3つです。

• Eストアーから届いた案内メールを確認する（受信者が公開した文面の例では、利用した店の名前が書かれていない）
• 利用したことのあるネットショップの公式サイトで、「不正アクセス」「Eストアー」などのお知らせが出ていないか見る
• Eストアーの購入者向け窓口（support@estore.co.jp）に問い合わせる

利用店舗の発表には、2008年からの購入者を対象とした例があります。何年も前の買い物でも対象になり得ます。

漏れたのは氏名・住所・電話番号・メールアドレスに加え、カードの名義・先頭6桁・下4桁・有効期限です。偽の連絡にも「お使いのカード（末尾1234）」のように本物と同じ情報を書けるということです。

Eストアーも、再決済・本人確認・返金・アカウント確認などを理由にカード情報やパスワードの入力を求められても応じないよう呼びかけています。連絡が来たら本文のリンクや電話番号は使わず、自分で店やカード会社の公式サイトを開いて確かめてください（見分け方は フィッシングとは）。

同社によれば、カード番号全体とセキュリティコードは漏えいの対象に含まれていません。それでも、偽の連絡に誘われてカード情報を入力してしまう場合に備えて、利用明細を今月分と、これから数か月確認します。

身に覚えのない請求があれば、カード裏面の番号からカード会社に連絡してください。カードの再発行が必要かどうかも、カード会社に相談できます。

同社は、会員IDとパスワードは暗号化された状態で管理しており、悪用される可能性は低いと判断しています。ただ、同じメールアドレスとパスワードを他のサービスでも使っているなら、そちらは変えてください。同社もサービスごとに異なるパスワードと、多要素認証の設定を勧めています。

利用した店の会員パスワードも、この機会に変えておくと安心です。管理には パスワードマネージャー を使うのが現実的です。

購入者情報には勤務先も含まれます。届け先を職場にしていた人は、勤務先の名前と自分の名前がそろった連絡が職場のメールや電話に来る可能性があります。荷物や支払いを口実にした連絡は、店の公式サイトから確かめてください。

Eストアーは出店者に、パスワード変更などの対応を求め、管理画面の二段階認証（パスワードに加えて確認コードなどを求める設定）を推奨しています。同じパスワードを他のサービスで使っている場合は、そちらも変えます。

FTPのIDとパスワードが漏れると、第三者が店のページのファイルを書き換えられる状態になり得ます。最近更新したファイルの一覧を見て、自分たちが更新していないファイルや、知らないスクリプトの読み込みがないか確認してください。

決済ページに不正なスクリプトが置かれると、入力されたカード情報がそのまま盗まれます。何が起きるかは APORITOオンラインストアのカード情報流出のおそれ で説明しています。

店舗用メールのパスワードが漏れた場合に備え、知らない転送先や自動振り分けの設定が追加されていないかを確認します。注文や問い合わせのメールが外部に転送されていると、パスワードを変えても情報が流れ続けます。

振込先口座の登録内容が変わっていないかも確認してください。「振込先を変更してほしい」「売上の入金のため口座を確認したい」といった連絡は、メール以外の手段で確かめます（自社ドメインの守り方は なりすましメール対策（SPF・DKIM・DMARC））。

購入者の多くはショップサーブという名前を知らないため、Eストアーからの案内メールだけではどの店の話か分かりません。自分の店の公式サイトでお知らせを出し、対象になった期間、漏れた項目（カード情報が含まれたかどうか）、問い合わせ先を書いておくと、購入者が自分の状況を判断できます。

通常の注文処理は、1回の処理で1つの店のデータしか扱いません。1つのプロセスやデータベース接続が、短い時間に多数の店のデータを読むのは、バッチ処理などを除けば普通ではありません。

最初の1つとして、データベースの監査ログから「1時間あたりに触れた店の数」を接続元ごとに集計し、決まったバッチ以外で上限（例：10店）を超えたら通知する設定から始められます。

今回の発表では、購入者情報はサーバーから外部へ送信されました。注文を処理するサーバーが通信する必要のある相手は、決済代行会社や配送会社など限られています。

外向きの通信を必要な行き先だけに許可し、それ以外への通信と、普段より大きな送信量を記録・通知します。ファイアウォールやクラウドのネットワーク設定で実現できます。

出店者のFTPやメールのパスワード、振込先口座は、購入者情報と同じ場所から読めると、まとめて持ち出されます。認証情報は復元できない形で保存するか、復元が必要なものは別の保管場所と別の鍵に分けます。

パスワードの保存方法は パスワードの安全な保存（ハッシュとソルト）、全体の考え方は 組織のセキュリティ対策、最低限はどこか で扱っています。

購入者は自分が使った店の名前しか知りません。運営会社が全体の発表を出すだけでは、購入者は自分が対象か判断できません。

店ごとに「対象期間・漏れた項目・カード情報の有無」をすぐに出せるようにしておき、顧客企業がそれぞれの購入者に説明できる形で渡すことまでを、事故対応の手順に入れておきます。