グッドスマイルカンパニー、ECサイト「グッドスマイルカンパニー公式ショップ」の個人情報などが流出した可能性を告知

　グッドスマイルカンパニーは、同社が運営するECサイト「グッドスマイルカンパニー公式ショップ」において、第三者による不正アクセスが発生し、会員の個人情報などが流出した可能性があることを発表した。

　今回、対象のシステムログを解析した結果、2026年10月19日15時過ぎころから、10月22日22時ごろにかけ、対象サイトの管理情報に複数回の不正アクセスによる閲覧があったことが判明。同社は10月23日午前6時ごろに、対象サイトのシステム開発・保守委託先事業者からの連絡により、不正アクセスがあったことを確認した。

　閲覧された可能性がある情報は、「基本情報（氏名、読み仮名、性別、住所、電話番号、メールアドレス）」「注文情報（注文日、商品名、数量、金額、お届先の住所・氏名・電話番号［別途登録あった場合］、決済方法、決済状況（決裁済か否か））」「クレジットカード情報（クレジットカードのブランド、カード番号下4桁及び有効期限 ※カード名義、カード番号の全桁（下4桁除く）及びセキュリティコードは含まれません）」の3種。

　なお、「Amazon Pay」「PayPal」などの外部決済サービスは、各決済事業者の認証システム経由で処理されており、対象サーバー内にクレジットカード情報は保持されていないほか、「ねんどろいどフェイスメーカー」および楽天市場店については、別システムにて運用しているため、今回の不正アクセスによる影響はないとしている。

　今回の不正アクセスの原因は、脆弱性による不正アクセスを受けたことが原因としている。なお、PHP脆弱性によるものではなく、PHP脆弱性に関する対応は、2026年10月21日から10月22日にかけてのメンテナンスにて実施している。

　現在の対応状況は、判明した原因と思われる脆弱性について改修など、システムセキュリティの強化を行ない、そのうえでなお、調査及び対応を進めているほか、個人情報保護委員会に対し、本件の報告を行なっている。

　二次被害防止のため、漏洩した情報を悪用し、当社や公的機関、金融機関などを名乗った不審なメールや電話、SMSによる詐欺やなりすましの行なわれる可能性があるため、心当たりのない送信元から発信されたこれらの連絡への対応は行なわず、リンクなどが記載されていてもクリックしないよう、注意するよう伝えている。

　今回の情報漏洩について同社は「会員様はじめ、関係者の皆さまにご心配をおかけする結果となりましたことについて、改めて深くお詫び申し上げます。今回の件を契機に改めてセキュリティの徹底に努めるなど、再発防止と信頼回復に努めて参ります。」と伝えている。