グッドスマイル公式ショップで決済ページ改ざん｜カード情報の対象と利用者対応

グッドスマイルカンパニーは2026年10月29日、公式ショップへの不正アクセスに関する第3報を公表しました。決済ページに不正なプログラムが設置され、カード情報全体が漏えいした可能性のある利用者として2,800人へ個別連絡しています。対象は購入完了者だけではありません。決済やカード情報の変更を途中まで行った人も、公式案内と利用明細を確認する必要があります。

一方、登録済みカードの下4桁と有効期限が漏えいした可能性がある集計は、重複を除き40万2,466枚です。「2,800人」と「40万2,466枚」は情報項目と数え方が異なり、全員のカード番号全桁が流出したという発表ではありません。本記事は同社の第3報を基に、対象の違いと利用者対応を整理します。

第3報で新たに判明した決済ページの改ざん

同社によると、不正アクセスは10月19日15時過ぎごろから22日23時前ごろに発生しました。23日6時過ぎごろに開発・保守委託先から連絡を受け、同日7時にショップを閉鎖しています。顧客情報の複数回の閲覧に加え、21日13時55分から23日7時まで、カード決済ページに不正プログラムが置かれていたことが分かりました。この設置を把握したのは28日18時30分過ぎごろです。

10月26日追記の第2報までの案内では、カード番号の全桁やセキュリティコードは対象に含まれないとしていました。第3報はこの前提を変更する重要な続報です。保存済み情報へのアクセスと、決済ページに入力した情報を取得された可能性を分けて読む必要があります。

カード情報の対象は二つに分かれる

カード情報全体の漏えい可能性がある2,800人の対象期間は、10月21日13時55分から23日7時までです。対象項目は名義人名、番号全16桁、有効期限、セキュリティコード。同社は決済完了者384人、予約後にカード情報を変更した185人に加え、決済未完了者と、カートに商品を入れたものの決済へ進まなかった人を含めて連絡しています。

操作記録を保持していないため、決済を試みた人と、カートに入れただけの人を区別できないとの説明です。後者ではカード情報の漏えいは起きていないと考えられるものの、可能性のある人へ広く通知しています。通知を受けたことは、カード情報が実際に持ち出された確定証拠と同義ではありません。

さらに、注文後にカード情報の変更を試み、完了しなかった人にも漏えいの可能性があります。この操作をした人は記録から特定できず、個別通知の対象だけで影響を判断できません。該当する心当たりがあれば、第3報の留意事項を確認してください。

別の類型は、ショップへカードを登録したことがある利用者です。漏えいの可能性がある項目は下4桁と有効期限で、カード枚数は40万2,466枚、人数は確認中。同社は、この類型では名義人名とセキュリティコードの漏えいは確認しておらず、当該情報に紐づく登録会員情報の漏えいもないと説明しています。枚数を人数へ置き換えたり、2,800人と足したりすることはできません。

注文情報は閲覧202件に対し7,673人を対象

注文情報については、10月22日22時20分前ごろから23時前ごろの注文に関する7,673人を対象としています。届け先・請求先の氏名、住所、電話番号、メールアドレス、注文内容、金額、決済方法が漏れた可能性があります。

不正閲覧を確認した注文は202件ですが、どの注文だったかを完全に特定できないため、閲覧され得た7,673件に関する利用者全体を対象にしています。「7,673件の流出確認」ではなく、確認された閲覧と、特定できないため広げた通知範囲を区別する必要があります。届け先が購入者本人以外なら、注文情報に別の人の連絡先が含まれる場合もあります。

利用明細の確認と閉鎖中の問い合わせ

同社がカード情報の漏えいについて個別メールを送った人へ求めているのは、身に覚えのない利用履歴の確認です。不審な履歴があればカード裏面の発行会社へ速やかに連絡するよう案内しています。不審なメール、電話、SMSには応答せず、記載リンクも開かないよう注意を呼びかけています。

当サイトからの提案として、メール内の誘導先だけで判断せず、公式サポートページを直接開いて自分の利用日時と操作を照合すると確認しやすくなります。カードの停止・再発行が必要かは、発行会社へ状況を伝えて確認してください。同社は全利用者への一律の再発行を求めたとは発表していません。

ショップの再開時期は、安全性を確認してから改めて案内するとしています。ただし、受け付け済みの10月発送予定注文と予約商品は順次発送中です。予約商品の決済エラーを受け、閉鎖のため再決済できない場合も自動キャンセルにはならず、同社の専用問い合わせフォームへの連絡を案内しています。退会も同フォームで受け付け、フォームはショップとは別システムで運用されています。

原因と対応で確認できていること

同社は、システムの一部の脆弱性が悪用され、管理者権限が不正取得されたと認識しています。原因と考える箇所を改修し、システム間の接続情報一式を無効化・更新しました。近時報告されたPHPの脆弱性が原因ではないと明記しています。具体的な製品名、脆弱性番号、攻撃者については第3報で説明されていません。

運用担当者にとって本件の固有の論点は、保存データの種類だけで影響を限定できなかったことと、操作記録の不足が対象者の特定を難しくしたことです。これは同社が示した調査経緯からの当サイトの考察です。決済画面の改変確認と操作経路の記録を、データベースの閲覧調査とは別に扱う判断材料になります。