フィギュアなどを販売する「グッドスマイルカンパニー公式ショップ」で発生した不正アクセスについて、新たな被害の可能性が明らかになりました。
これまでに判明していた顧客情報の不正閲覧に加え、クレジットカードの決済ページに不正なプログラムが仕込まれていたことが判明。カード番号の全16桁やセキュリティコードなど、2800人分の情報が漏えいした可能性があります。
運営するグッドスマイルカンパニーは10月29日、調査状況をまとめた第3報を公表しました。
■ 決済ページに不正プログラム 購入していなくても対象に
同社によると、不正アクセスは10月19日から22日にかけて発生。システムの脆弱性（セキュリティ上の弱点）を悪用され、管理者権限が不正に取得されたとみられています。
10月23日に不正アクセスが判明し、同日午前7時にサイトを閉鎖。その後の調査で、10月21日午後1時55分から23日午前7時まで、クレジット決済ページに不正なプログラムが設置されていたことが10月28日に新たに判明したとのこと。
対象となるのは、この期間にカード情報を入力した可能性がある2800人です。
ただし、2800人全員の情報が漏えいしたと確認されたわけではありません。実際に決済した人だけでなく、決済手続きを完了できなかった人や、商品をカートに入れただけの人も含まれています。
これは、システムに操作記録が残っておらず、対象者を正確に絞り込めないためです。
さらに、予約商品の決済カードを変更しようとして、手続きを完了できなかった人についても漏えいの可能性がありますが、こちらは対象者を特定できていないとのことです。
■ 登録カード約40万枚分、番号下4桁などが漏えいか
一方、サイトに登録されていたクレジットカードについても、重複を除く40万2466枚分の情報が漏えいした可能性があります。
こちらはカード番号の下4桁と有効期限が対象で、カード名義人名やセキュリティコードの漏えいは確認されていません。
また、注文情報202件が不正に閲覧されたことも確認されています。閲覧された注文を完全には特定できないため、7673人について、氏名や住所、電話番号、注文内容などが漏えいした可能性があるとしています。
同社は、カード情報全てが漏えいした可能性のある利用者にメールで個別に連絡。身に覚えのないカード利用がないか確認し、不審な請求があればカード発行会社に連絡するよう呼びかけています。
なお、公式ショップは現在も一時閉鎖されており、再開時期は未定。安全性が確認でき次第、改めて案内するとしています。
＜参考・引用＞
グッドスマイルカンパニー：2026年10月29日（第3報）
グッドスマイルカンパニー：2026年10月23日（第1報）・26日（第2報追記）