グッドスマイルカンパニーは2026年10月29日、通販サイト「グッドスマイルカンパニー公式ショップ」への不正アクセスについて第3報を出しました。
決済ページに不正なプログラムが仕掛けられていたことが分かり、2,800名のカード番号全16桁とセキュリティコードが漏えいした可能性があります。
この記事では、自分が対象かを見分けるポイント、第1報から変わった点、対象の人がやること、サイト再開や予約商品の扱いをまとめます。
- カード番号全16桁とセキュリティコードが漏れた可能性があるのは2,800名。10月21日13時55分〜23日7時に決済ページでカード情報を入力した可能性がある人
- カード情報を登録したことがある人は、カード番号下4桁と有効期限が漏れた可能性がある（402,466枚）
- 10月22日22時20分前ころ〜23時前ころに注文した7,673名は、住所や注文内容が漏れた可能性がある
- Amazon Pay・PayPalなど外部決済の注文と、楽天市場店は影響なし
グッスマ公式ショップの不正アクセスで何が分かったか
まず、第3報までに発表された経緯を時系列で整理します。
グッドスマイルカンパニーは10月23日午前6時過ぎころ、サイトのシステム開発・保守の委託先からの連絡で不正アクセスに気づきました。
不正アクセスがあったのは、10月19日15時過ぎころから10月22日23時前ころです。
同社は10月23日午前7時にサイトを閉鎖しました。
その後の調査で、10月21日13時55分から10月23日7時まで、クレジットカード決済ページに不正なプログラムが置かれていたことが分かりました。
この情報が判明したのは10月28日18時30分過ぎころです。
| 日時 | 出来事 |
|---|---|
| 10月19日（月）15時過ぎころ | 不正アクセスが始まる |
| 10月21日（水）13時55分 | 決済ページに不正なプログラムが置かれる |
| 10月22日（木）23時前ころ | 不正アクセスが確認された期間の終わり |
| 10月23日（金）6時過ぎころ | 委託先の連絡で不正アクセスを把握 |
| 10月23日（金）7時 | サイトを閉鎖（不正なプログラムもこの時刻まで） |
| 10月23日（金） | 第1報を公表 |
| 10月26日（月） | 第2報（第1報に追記） |
| 10月28日（水）18時30分過ぎころ | 不正なプログラムの設置が判明 |
| 10月29日（木） | 第3報。新たに対象と分かった人に早朝メールで連絡 |
原因について、同社はシステムの一部にあった脆弱性が悪用され、管理者権限を不正に取られたものと説明しています。
最近報告されたPHPの脆弱性が原因ではないことも、第2報と第3報で明らかにしています。
グッスマのカード情報流出の対象は？3つのケースで確認
漏えいの対象は、漏れた可能性がある情報ごとに3つに分かれます。
自分がどれに当たるかは、サイトを使った日時と、カード情報を登録していたかで見分けられます。
| ケース | 対象になる人 | 漏れた可能性がある情報 | 人数・件数 |
|---|---|---|---|
| カード情報すべて | 10月21日13時55分〜10月23日7時に、決済ページでカード情報を入力した可能性がある人 | カード名義人名、カード番号（全16桁）、有効期限、セキュリティコード | 2,800名 |
| カード情報の一部 | サイトにカード情報を登録したことがある人 | カード番号下4桁、有効期限 | 402,466枚（重複を除く。人数は確認中） |
| 注文情報 | 10月22日22時20分前ころ〜同日23時前ころに注文した人 | お届け先・請求先の名前・住所・電話番号、メールアドレス、注文内容、金額、決済方法 | 7,673名 |
カード情報すべてが漏れた可能性がある2,800名
いちばん注意が必要なのは、カード番号の全桁とセキュリティコードが漏れた可能性がある2,800名です。
この2,800名には、期間中に決済ページで次のどれかの操作をした人が含まれます。
- カード決済で注文した人（384名）
- カード決済を試みたが、決済が完了しなかった人
- ログインしてカートに商品を入れたが、決済手続に進まなかった人
- 予約後に、決済に使うカード情報を変更した人（185名）
2と3の人は、操作の記録が残っていないため、どちらに当たるか区別できません。
同社は、3の人にはカード情報の漏えいは発生していないとの見方を示しています。
そのうえで、1〜4に当たる可能性のある全員に個別のメールで連絡しました。
このほか、注文後にカード情報の変更を試みて完了しなかった人も、カード情報が漏れている可能性があります。
この人たちは記録がなく特定できないため、メールが届かない場合があります。
期間中に注文後のカード変更を試みて完了しなかった覚えがあれば、メールが届いていなくても対象になりうるということです。
カード番号下4桁と有効期限が漏れた可能性がある人
サイトにカード情報を登録したことがある人は、カード番号の下4桁と有効期限が漏れた可能性があります。
対象のカードは、重複を除いて402,466枚です。
対象の人数は、10月30日時点ではまだ確認中と発表されています。
このケースでは、カード名義人名とセキュリティコードの漏えいは確認されていません。
これらのカード情報にひも付く会員情報も、漏えいはないと発表されています。
住所や注文内容が漏れた可能性がある7,673名
10月22日22時20分前ころから23時前ころまでに注文した7,673名は、住所や電話番号、注文内容などが漏れた可能性があります。
実際に不正に閲覧された注文は202件です。
ただし、どの注文が閲覧されたかを完全には特定できないため、閲覧された可能性がある7,673件の注文をした人すべてを対象にしています。
第1報から変わったグッスマの漏えい範囲
グッスマの不正アクセスでは、第3報で漏えいの範囲が大きく変わりました。
10月23日の第1報では、閲覧された可能性がある情報として、会員の氏名・読み仮名・性別・住所・電話番号・メールアドレスや注文情報を挙げていました。
カードについては、ブランド、番号の下4桁、有効期限だけを挙げていました。
第1報では「カード名義、カード番号の全桁（下4桁除く）及びセキュリティコードは含まれません」と案内していました。
ところが10月28日に、決済ページに不正なプログラムが置かれていたことが分かりました。
その結果、10月29日の第3報で、2,800名はカード番号の全16桁とセキュリティコードまで漏れた可能性があると変わりました。
同社は第3報で、当初の案内から変更が生じたことをおわびしています。
10月26日の第2報では、この件で退会した元会員を含むすべての会員に、お知らせと同じ内容を個別のメールで案内することにしたと発表しました。
グッスマのカード情報流出の対象の人がやること
カード情報が漏れた可能性があると分かったら、カードの明細を確認することが第一歩です。
同社は、個別メールを受け取った人に、身に覚えのない利用履歴がないか確認するよう求めています。
覚えのない履歴があれば、カードの裏面に書かれたカード発行会社にすぐ連絡します。
- グッドスマイルカンパニーから個別のメールが届いているか確認する
- 10月21日13時55分〜23日7時に決済ページを使った覚えがないか思い出す
- カードの利用明細に、身に覚えのない請求がないか確認する
- 覚えのない請求があれば、カード裏面のカード発行会社に連絡する
- 同社や公的機関・金融機関を名乗る不審なメール・電話・SMSのリンクは開かない
明細の確認は一度で終わらせず、しばらくは毎月の請求を見ておくと安心です。
カードの再発行の手数料を誰が負担するかや、おわびの対応は、10月30日時点では公式には発表されていません。
不審なメール・電話・SMSに注意
漏れた情報が悪用され、同社や公的機関、金融機関などを名乗る詐欺やなりすましが行われるおそれがあります。
同社は、心当たりのない送信元からの連絡には対応せず、リンクが書かれていてもクリックしないよう呼びかけています。
注文情報が漏れた可能性がある人は、名前や住所、注文内容を知っている相手からの連絡でも、本物とは限らないことを覚えておくと安心です。
Amazon Pay・PayPalの注文と楽天市場店は影響なし
対象にならない利用方法もあります。
Amazon PayやPayPalなど外部の決済サービスを使った注文は、各決済事業者の認証システムを通して処理されていました。
そのため、同社のサーバーにはカード情報が保存されていません。
「ねんどろいどフェイスメーカー」と「GOOD SMILE STORE 楽天市場店」は、公式ショップとは別のシステムで動いています。
この2つには、今回の不正アクセスの影響はありません。
グッスマ公式ショップの再開はいつ？予約・発送・退会の扱い
公式ショップは10月23日から閉鎖されたままです。
再開の時期は、10月30日時点では発表されていません。
同社は、安全性が確認でき次第、再開の時期を案内すると発表しています。
同社は、原因と思われる脆弱性を直し、システム間の接続情報をすべて無効化して更新しました。
個人情報保護委員会には報告済みで、今後はカード会社と決済代行会社への報告を進めます。
10月発送予定の商品は順次出荷
すでに受けている10月発送予定の注文と予約商品は、サイトの閉鎖中も順次出荷されています。
予約の決済エラーが出た人
予約注文でカードやPayPalの決済エラーの案内が届き、サイトの閉鎖で再決済できない人は、問い合わせフォームから連絡します。
注文が自動でキャンセルになることはありません。
閉鎖中でも退会はできる
サイトの閉鎖中も、退会の受け付けは続いています。
退会したい人は、問い合わせフォームから個別に手続きします。
問い合わせは、どの用件もグッドスマイルカンパニー カスタマーサポートの問い合わせフォームで受け付けています。
このフォームは、公式ショップとは別のシステムで運用されています。
電話の窓口は、10月30日時点では案内されていません。
最新の状況は、公式のお知らせ（第3報）で確認できます。
グッスマの不正アクセスはメールと明細の確認から
グッスマ公式ショップへの不正アクセスでは、10月21日13時55分から23日7時に決済ページを使った2,800名のカード番号全16桁とセキュリティコードが漏れた可能性があります。
カード情報を登録していた人は下4桁と有効期限、10月22日夜に注文した人は住所や注文内容も対象です。
対象の人は、届いたメールとカードの明細を確認し、覚えのない請求があればカード発行会社に連絡しましょう。
サイトの再開時期は未定で、予約の決済エラーや退会は問い合わせフォームで受け付けています。
