Read this article in English →
グッドスマイルカンパニー公式ショップで第三者による不正アクセスが起き、会員の個人情報が不正に閲覧された。閲覧されたのは2026年10月19日15時過ぎから22日22時ごろにかけてで、氏名・住所・電話番号・メールアドレスと注文情報、クレジットカードのブランド・下4桁・有効期限が対象だ。同社は判明後ただちにショップを閉鎖し、10月23日に公式Xで第一報を出したうえで個人情報保護委員会に報告した。再開時期は2026年10月27日時点で未定。
カード番号の全桁、名義、セキュリティコードは含まれていない。だから「カードが使われる」直接の危険は小さい。怖いのは、注文した商品名と金額と下4桁を知っている相手から「配送の確認です」「カード情報を更新してください」というメールが来ることだ。本物にしか見えない詐欺メールの材料が、そろって出ていった。
10月26日以降、会員にはメールで案内が届き始めている。編集部の会員アドレスにも「メールマガジンの配信停止を希望されているお客様にも送信しております」と断りのついた案内が届いた。この記事では、何が閲覧されたのか、閲覧されなかったのは何か、会員が今やること、予約済みの注文がどうなるのかを公式発表と報道をもとに整理する。
まず、何が見られたのかから。
グッドスマイルカンパニー公式ショップで閲覧された情報は？
閲覧された可能性があるのは、会員の基本情報、注文情報、クレジットカードの一部情報の3つだ。会社は不正アクセスの原因をシステムの脆弱性を突かれたものと認識し、改修を済ませたと説明している。対象となる会員の人数は公表されていない。
| 区分 | 閲覧された可能性がある項目 |
|---|---|
| 会員の基本情報 | 氏名、読み仮名、性別、住所、電話番号、メールアドレス |
| 注文情報 | 注文日、商品名、数量、金額、決済方法、決済状況、配送先 |
| クレジットカード | ブランド、番号の下4桁、有効期限 |
一方で、含まれていないと明記されたものがある。
カード名義、下4桁以外のカード番号、セキュリティコードは含まれていない
引用元:グッドスマイルカンパニー公式ショップ サポート
カード決済に必要な番号全桁とセキュリティコードが出ていない以上、この情報だけで誰かが買い物をすることはできない。問題は組み合わせだ。「10月に注文したねんどろいどの代金、下4桁xxxxのカードで決済が通りませんでした」と書かれたメールが届いたとき、それが偽物だと見抜けるか。注文内容と下4桁が合っていれば、たいていの人は信じる。今回の流出で一番現実的な被害は、この手のなりすましだ。
不正アクセスから会員メールまでの経緯は？
侵入は10月19日15時過ぎから22日22時ごろまでの約3日半で、ログの解析で複数回のアクセスが確認された。判明後ただちにショップを閉鎖し、23日に公式Xで第一報、同日に個人情報保護委員会へ報告。その後、開発会社と調査を続けて対象範囲と対応方針をお知らせに追記し、26日以降に会員へメールで案内している。
| 日時 | 出来事 |
|---|---|
| 2026年10月19日 15時過ぎ | 不正アクセスの開始（ログ解析で確認） |
| 2026年10月22日 22時ごろ | 確認された不正アクセスの最終時刻。判明後ただちにショップを閉鎖 |
| 2026年10月23日 | 公式Xで第一報。個人情報保護委員会に報告 |
| 10月23日〜26日 | 開発会社と調査を継続。対象範囲と対応方針をお知らせに追記 |
| 10月26日以降 | 会員へメールで案内。配信停止中の会員にも送付 |
| 再開時期 | 未定（2026年10月27日時点） |
会員向けメールには「2026年10月23日（金）に本サイトへの不正アクセスの可能性について第一報をSNS上にて公表いたしましたが、会員の皆様へのメールによる直接のご案内が遅くなりましたことを、重ねて心よりお詫び申し上げます」とある。Xを見ていない会員が知るまでに3日以上かかった計算だ。SNSの第一報は早かったが、メールが遅れた点を会社自身が謝っている。
10月はゲーム・ホビー業界で不正アクセスの報告が続いている。ゲオオンラインが15日に確認して17日に全停止、スクウェア・エニックス アカウントへの不正ログイン、CAPCOM IDからの1,177万件超の漏えい。それぞれ手口も規模も違うが、ECサイトの会員情報が狙われているのは共通している。
グッドスマイルカンパニー公式ショップの会員が今やることは？
最優先は、公式ショップやグッドスマイルカンパニーを名乗るメール・SMS・電話を疑うことだ。会社も不審な連絡への対応を控え、記載されたリンクを開かないよう呼びかけている。パスワードは閲覧対象として挙げられていないが、同じパスワードを他のサービスで使い回している人は変えておく。
- グッドスマイルカンパニーを名乗るメールのリンクは開かない。注文内容や下4桁が合っていても信じない。確認は公式サポートサイトから直接行う
- クレジットカードの利用明細を確認する。身に覚えのない請求があればカード会社に連絡する
- 「カード情報の更新」「決済エラー」「配送の確認」を求めるメールは、本物でも偽物でもメール内のリンクからは操作しない
- 公式ショップと同じパスワードを他のサービスで使っているなら変更する
- 過去の注文確認メールを残しておく。再開後に注文状況を照合する材料になる
カードを止めるべきかどうかは、下4桁と有効期限だけでは決済ができないことを踏まえて判断していい。ただ、明細に不審な請求が1件でもあれば迷わず止める。再発行の手間と、知らない請求を放置する損失では、後者のほうが重い。
予約済みの注文と公式ショップの再開はどうなる？
2026年10月27日時点で、予約済み注文の一律キャンセルや出荷の延期についての公式案内はない。再開時期も「作業完了の見込みは未だご案内できる状況に至っておりません」とされている。注文は生きているのか、決済はいつ走るのか、会員が一番知りたい部分がまだ空いている。
| 項目 | 2026年10月27日時点 |
|---|---|
| 公式ショップ | 閉鎖中 |
| 再開時期 | 未定 |
| 予約済み注文の扱い | 公式案内なし（一律キャンセル・延期の発表もなし） |
| 対象会員への連絡 | 確認後、順次メールで個別に連絡 |
| 対象人数 | 未公表 |
| 原因 | システムの脆弱性。改修済みとしている |
ねんどろいどやfigma、POP UP PARADEの予約は数か月先の発売を待つのが当たり前で、公式ショップ限定特典のために予約した人も多い。再開後に注文が維持されているか、決済のタイミングが変わるかは、会員にとって流出と同じくらい切実だ。手元の注文確認メールを消さず、再開の案内を待つ。全塗装派のオレにとってグッスマは完成品の話で正直出番は少ないが、公式ショップの限定特典に手を出した身としては他人事ではない。
まとめ。グッドスマイルカンパニー公式ショップ不正アクセスで分かっていること
グッドスマイルカンパニー公式ショップは、2026年10月19日15時過ぎから22日22時ごろにかけて第三者の不正アクセスを受け、会員の氏名・住所・電話番号・メールアドレス、注文情報、クレジットカードのブランド・下4桁・有効期限が閲覧された可能性がある。カード番号の全桁・名義・セキュリティコードは含まれていない。ショップは閉鎖中で再開は未定、対象人数は未公表、10月23日に個人情報保護委員会へ報告済み。会員は公式を名乗るメールや電話を疑い、カード明細を確認し、使い回しのパスワードを変える。予約済み注文の扱いは公式案内待ちだ（2026年10月27日時点）。
カードが直接使われる情報は出ていない。その代わり、注文内容と下4桁という「本物らしさ」の材料がそろって出ていった。これからしばらく、グッスマを名乗る丁寧なメールほど疑う必要がある。会社の次の説明で見たいのは、再開日より先に、予約済み注文がそのまま生きているかどうかだ。
メールは疑う、明細は見る、注文メールは消さない。やることはその3つで足りる。
あわせて読みたい
スニッカー北村
オタク系イベントカレンダー！
SPOTGEEKSオリジナルアプリ
コメントを残す