グッドスマイルカンパニーは2026年10月29日、公式ショップへの不正アクセスに関する第3報を公表した。10月21日13時55分から23日7時までクレジットカード決済ページに不正なプログラムが設置されていたことが新たに判明し、この間にカード情報を入力した可能性のある2,800名は、名義・カード番号全16桁・有効期限・セキュリティコードのすべてが漏えいした可能性がある。カード情報を登録したことのある会員については、下4桁と有効期限が対象のカードが重複を除き402,466枚にのぼる。
第2報までの説明は「全桁・名義・セキュリティコードは含まれていない」だった。それが覆った。不正プログラムの存在が分かったのは10月28日18時30分過ぎで、翌29日早朝に該当者へ個別メールが送られている。
この記事では、第2報から何が変わったのか、2,800名の内訳、402,466枚と7,673名の意味、原因と対応、そして対象者が今日やることを公式発表に沿って整理する。10月27日の記事で「カードが使われる直接の危険は小さい」と書いたが、2,800名についてはその前提が崩れた。訂正して、改めて書く。
公式ショップの限定特典に手を出した身としては、朝イチでメールボックスを見る日が来るとは思わなかった。
まずは、何がどう変わったのかから。
第3報で第2報から何が変わった？
最大の変更は、閲覧被害だけだった事案に「決済ページへの不正プログラム設置」が加わったことだ。閲覧であれば保存されていない全桁やセキュリティコードは漏れないが、入力画面に仕込まれたプログラムは入力されたものをそのまま抜き取る。だから被害の種類が変わった。
| 項目 | 第2報まで（10月26日） | 第3報（10月29日） |
|---|---|---|
| 不正アクセス期間 | 10月19日15時過ぎ〜22日22時ごろ | 10月19日15時過ぎ〜22日23時前ごろ |
| 手口 | 会員情報・注文情報の不正閲覧 | 閲覧に加え、10月21日13時55分〜23日7時に決済ページへ不正プログラムを設置 |
| カード情報 | ブランド・下4桁・有効期限のみ。全桁・名義・セキュリティコードは含まれない | 2,800名は名義・全16桁・有効期限・セキュリティコードが対象。登録済みカード402,466枚は下4桁と有効期限 |
| 注文情報 | 対象人数の公表なし | 10月22日22時20分前〜23時前の注文7,673名分が閲覧可能な状態。実際に閲覧された注文は202件 |
| 原因 | システムの脆弱性 | システムの脆弱性を突かれ管理者権限を不正取得。近時報告されたPHP脆弱性ではない |
一連の不正アクセスにより、本サイトに記録されたお客様情報が複数回閲覧されたほか、同月21日13時55分から同月23日7時までの間、クレジットカード決済ページに不正なプログラムの設置されていたことが判明いたしました。なお、不正なプログラムの設置に関する情報は、10月28日18時30分過ぎころに判明したものです。
引用元:グッドスマイルカンパニー カスタマーサポート
サイトを閉鎖したのが23日7時、不正プログラムが見つかったのが28日の夜。閉鎖からプログラム発見まで5日半かかっている。決済ページの改ざんは「侵入された」事実だけでは見えないので、ここは調査の順番として仕方のない部分でもある。ただ、第2報で「含まれていない」と言い切った情報が3日後に覆った以上、会員側は第2報を前提に動いた分を一度リセットする必要がある。
カード情報が全部漏れた可能性がある2,800名とは誰か？
2026年10月21日13時55分から23日7時までの間に、公式ショップの決済ページにクレジットカード情報を入力した可能性のある2,800名だ。該当者には10月29日早朝にメールで個別に連絡が届いている。
| 区分 | 内容 | 人数 |
|---|---|---|
| ① | クレジットカード決済で注文を完了した | 384名 |
| ② | クレジットカード決済を試みたが完了しなかった | 特定不能 |
| ③ | ログインしてカートに入れたが決済手続に進まなかった | 特定不能 |
| ④ | 予約後に決済用カード情報の変更手続を行った | 185名 |
| 区分外 | 注文後にカード情報の変更を試みたが完了しなかった | 特定不能・連絡対象外 |
③はカード情報を入力していないので漏えいは起きていないと会社は見ているが、システムが操作記録を保持していないため②と③を切り分けられず、可能性のある全員に連絡を送っている。2,800という数字は「入力した人」ではなく「入力したかもしれない人」の上限だと理解すればいい。
問題は表の最後の行だ。注文後にカード情報の変更を試みて途中でやめた人は、入力画面を通っている可能性があるのに特定できず、メールも届かない。この期間に変更画面を開いた記憶がある人は、連絡が来ていなくても対象者と同じ対応を取るべきだ。
402,466枚と7,673名は何を指す？
402,466枚は、公式ショップにカード情報を登録したことのある会員のうち、下4桁と有効期限が閲覧された可能性のあるカードの枚数で、重複を除いた数だ。会員の人数はまだ確認中とされている。名義とセキュリティコードは含まれず、紐付く会員情報も漏れていない。
7,673名は、10月22日22時20分前から23時前までの約40分間に注文した会員の数だ。実際に不正閲覧された注文は202件だが、どの202件かを特定できないため、この時間帯の注文全員を対象として扱っている。閲覧された可能性があるのは届け先と請求先の氏名・住所・電話番号、メールアドレス、注文内容、金額、決済方法だ。
| 類型 | 対象 | 漏えいの可能性がある情報 |
|---|---|---|
| カード情報すべて | 決済ページに入力した可能性がある2,800名 | 名義・番号全16桁・有効期限・セキュリティコード |
| カード情報の一部 | カードを登録したことのある会員（402,466枚） | 下4桁・有効期限 |
| 注文情報 | 10月22日22時20分前〜23時前に注文した7,673名 | 氏名・住所・電話番号・メールアドレス・注文内容・金額・決済方法 |
下4桁と有効期限だけでは決済はできない。ただし商品名・金額・住所と組み合わさると、本物にしか見えない「配送確認」や「カード更新のお願い」が作れる。10月27日の記事で書いた詐欺メールの懸念は、第3報でも変わらない。
原因と会社の対応は？再開はいつ？
原因はシステムの一部にあった脆弱性で、これを悪用して管理者権限が不正に取得されたと会社は認識している。別途保存していた管理システムのソースコードをもとに脆弱性を改修し、システム間の接続情報一式を無効化して更新した。再開時期は2026年10月29日時点で未定で、安全性が確認でき次第案内するとしている。
なお、原因と思われる脆弱性は、近時報告されたPHP脆弱性ではございません。
引用元:グッドスマイルカンパニー カスタマーサポート
わざわざPHPの脆弱性を否定したのは、10月下旬にPHP本体の脆弱性が広く報じられ、関連を疑う声があったからだろう。否定したということは、アプリケーション固有の穴だったと読むのが自然だ。個人情報保護委員会への報告は済み、クレジットカード会社と決済代行会社への報告はこれからだ。カード会社への報告が終われば、不正利用のモニタリングが対象カードにかかる。
対象者が今日やることは？
個別メールが届いた2,800名は、カードの利用明細を今日確認し、身に覚えのない履歴があればカード裏面の発行会社へ連絡する。履歴がなくても、全桁とセキュリティコードが対象になった以上、カードの再発行を発行会社に相談するのが現実的だ。
- 10月29日早朝のメールが届いているかを確認する。迷惑メールフォルダも見る
- カードの利用明細を確認し、覚えのない履歴があれば発行会社へ連絡する
- 履歴がなくても、発行会社に経緯を伝えて再発行を相談する
- 10月21日〜23日にカード情報の変更を途中でやめた記憶があれば、メールが来ていなくても同じ対応を取る
- グッドスマイルカンパニーや公的機関、金融機関を名乗るメール・電話・SMSのリンクは開かない
注文の扱いは変わっていない。10月発送予定の注文と予約商品は順次出荷され、決済エラーの通知が来ても注文は自動キャンセルされない。再決済ができない人、退会したい人は公式のお問い合わせフォームから個別に手続きする。フォームは公式ショップとは別のシステムで動いている。
まとめ。第3報で分かったことと、やること
グッドスマイルカンパニー公式ショップの不正アクセスは、第3報で「閲覧」から「決済ページへの不正プログラム設置」を含む事案に変わった。10月21日13時55分から23日7時までにカード情報を入力した可能性のある2,800名は、名義・全16桁・有効期限・セキュリティコードが対象。登録済みカード402,466枚は下4桁と有効期限、10月22日夜の注文7,673名分は氏名・住所・注文内容などが閲覧された可能性がある。原因は脆弱性による管理者権限の不正取得で、PHP脆弱性ではない。再開は2026年10月29日時点で未定だ。
第2報の「全桁とセキュリティコードは含まれない」を3日で覆す第3報は、会員にとって重い。ただ、不正プログラムの発見から12時間以内に個別メールを出し、特定できない区分の人にも「心当たりがあれば」と呼びかけた点は評価していい。会員側は第2報を前提にした安心を一度捨て、明細の確認とカード会社への相談を今日やる。それで被害の大半は止められる。
対象メールが来ていないからと安心しない。変更画面を開いた記憶があるなら、あなたも対象だ。
オタク系イベントカレンダー！
SPOTGEEKSオリジナルアプリ
コメントを残す