Eストアーはショップサーブへの不正アクセスの最終報を2026年10月16日に公表した。対象者は約2,335万6,000人、対象店舗は7,858店で、クレジットカード情報の一部を含む人は約2,096,900人に及ぶ。
最終報によると、外部へのデータ送信は2026年5月21日から8月1日までの期間に、サーバー上のアプリケーションの脆弱性を悪用した不正プログラムの実行を通じて発生した。調査機関のフォレンジック調査で、これらの経路以外の侵入やバックドアの設置は認められなかった。
漏えい対象は店舗だけでなく、購入者・会員情報、氏名・住所・メールアドレス・会員ID・暗号化パスワードなど多岐に及ぶ。対象店舗は過去の利用店舗を含む7,858店で、解約・移行済み店舗も含まれる。
第2報時点で対象とされた店舗メールシステムのID・パスワード、FTPのID・パスワード、振込先口座情報は最終報で除外された。一方でショップサーブ管理画面のID・パスワード、アフィリエイト登録者のメールアドレス・パスワードは対象に残っている。
公表企業には過去にショップサーブを利用していた企業・店舗も含まれ、各社の個別通知状況は公表日・更新日ごとに異なる。最終報は全体の被害範囲を確定させたが、店舗別の影響は公表情報と一致しない場合がある。