ニュース
- 渡邊 瑞穂
2026年10月29日 17:08
グッドスマイルカンパニーは10月29日、同社の公式通販サイト「グッドスマイルカンパニー公式ショップ」にて、同月23日に発表した不正アクセスにより利用者の個人情報およびクレジットカード情報が漏えいした可能性があることを発表した。
10月23日6時過ぎ頃、同サイトのシステム開発・保守委託先事業者の連絡により、同月19日15時過ぎ頃～22日23時前頃に同サイトへの不正アクセスがあったことが判明。23日午前7時にサイトを閉鎖し、同日中に第1報を発表。第2報では、確認できた事実や今後の対応を第1報に追記する形で発表していた。
第3報となる今回の発表では、一連の不正アクセスにより同サイトに登録された利用者の情報が複数回閲覧されたほか、21日13時55分～23日7時の間、クレジットカード決済ページに不正なプログラムの設置されていたことが判明したという。原因は同サイトで使用していたシステムの一部に存在した脆弱性の悪用で、管理者権限が不正に取得されたものだとしている。なお、原因と思われる脆弱性は、最近報告されたPHP脆弱性ではないとしている。
個人情報の漏えいの可能性について、次の3点が挙げられている。
クレジットカード情報が漏えいした可能性のある利用者
個人情報が漏えいした可能性があるのは、同月21日13時55分～23日7時の間にクレジットカード決済ページでクレジットカード情報を入力した可能性のある利用者2800人。対象となる情報の種類は以下。
- クレジットカード名義人名
- クレジットカード番号（全16桁）
- 有効期限
- セキュリティコード
上記2800人の中には、対象となる期間中同サイトのクレジットカード決済ページにおいて、以下のいずれかの操作を行った利用者が含まれているという。
- クレジットカード決済にて注文した384人
- クレジットカード決済を試みたが決済完了まで至らなかった人
- 同サイトにログインし、カートに商品を入れたが決済手続に進まなかった人
- 予約後、決済に用いたクレジットカード情報について変更手続をした185人
システム上操作の記録を保持していないため、上記2および3の対象者についてはどれに該当するか特定できないという。なお、上記以外にも「注文後、決済に用いたクレジットカード情報について変更手続を試みたが完了に至らなかった人」についてもクレジットカードが漏えいしている可能性があるが、操作の記録を保持していないことから該当者を特定できないとしている。
クレジットカード情報の一部が漏えいした可能性のある利用者
同サイトにクレジットカード情報を登録したことのある利用者については、以下の情報が漏えいした可能性があるという。対象となるクレジットカードの枚数は、重複を除き40万2466枚。人数は確認中。
- クレジットカード番号下4桁
- 有効期限
なお、クレジットカード名義人名およびセキュリティコードの漏えいは確認されておらず、漏えいの可能性がある上記情報に紐付く登録会員情報においても、漏えいはないとしている。
注文情報が漏れた可能性のある利用者
注文情報が漏れた可能性のある利用者は、同サイトで10月22日22時20分前頃～23時前頃の間に注文した利用者7673人が対象となっている。対象となる情報の種類は次のとおり。
- 届け先および／または請求先の名前
- 届け先および／または請求先の住所
- 届け先および／または請求先の電話番号
- メールアドレス
- 注文内容
- 金額
- 決済方法
不正に閲覧された注文件数は202件であるが、同サイトのシステム上完全に特定することができないことから、対象者は閲覧可能性のある注文7673件に関する全ての利用者としているという。
同社では、クレジットカード情報が漏えいした可能性のある利用者（上記の1番目の該当者）には、すでに個別のメールで連絡済みで、また、心当たりのない送信元から発信された不審なメールや電話、SMSなどへの注意を呼び掛けている。