グッドスマイルカンパニー、特定時間に利用したユーザーのクレジットカード情報が漏洩した可能性があることを告知

　グッドスマイルカンパニーは、同社が運営するECサイト「グッドスマイルカンパニー公式ショップ（以降、本サイト）」において発生した「不正アクセスによるお客様情報流出の可能性について」の第3報を公開した。

　今回10月23日に告知された「不正アクセスによるお客様情報流出の可能性について」において、その後の調査により判明した事実および対応状況が公開された。

　今回新たに判明した内容は、一連の不正アクセスにより、本サイトに記録されたユーザー情報が複数回閲覧されたほか、10月21日13時55分から10月23日7時までの間、クレジットカード決済ページに不正なプログラムが設置されていた。なお、不正なプログラムの設置に関する情報は、10月28日18時30分過ぎごろに判明したもの。

　漏えいした可能性がある情報は、「クレジットカード名義人名」「クレジットカード番号（全16桁）」「有効期限」「セキュリティコード」。

　該当するユーザーは2,800名で、「クレジットカード決済にて注文したユーザー（384名）」「クレジットカード決済を試みたが決済完了まで至らなかったユーザー」「本サイトにログインし、カートに商品を入れたが決済手続に進まなかったユーザー」「予約後、決済に用いたクレジットカード情報について変更手続をしたユーザー」が対象となっている。

　なお「クレジットカード決済を試みたが決済完了まで至らなかったユーザー」「本サイトにログインし、カートに商品を入れたが決済手続に進まなかったユーザー」に関しては、操作の記録を保持していないため、ユーザーを特定することができないが、4つに該当する可能性があるすべてのユーザーに個別に連絡をしている。

　また本サイトにクレジットカード情報を登録したことのあるユーザーにおいても、「クレジットカード番号下4桁」と「有効期限」が漏えいした可能性があるとしており、対象となるクレジットカード枚数は、重複を除き402,466枚となる。

　その他に、2026年10月22日22時20分ごろから同日23時ごろまでに注文したユーザー（7,673名）において、「お届け先および／またはご請求先のお名前」「お届け先および／またはご請求先のご住所」「お届け先および／またはご請求先のお電話番号」「メールアドレス」「注文内容」「金額」「決済方法」が漏えいした可能性があるとしている。

　今回の情報漏えいに対して現在の対応状況は、別途保存していたサイトの管理システムのソースコードに基づき、原因と思われる脆弱性の改修を実施。リスクの最小化の観点から、当該システムを構成する各システム間の接続情報一式を無効化および更新し、その他必要なセキュリティ強化策を講じている。

　なお、原因と思われる脆弱性は、近時報告されたPHP脆弱性によるものではないとしている。

　クレジットカード情報すべてが漏えいした可能性のあるユーザーには、すでに個別のメールにて連絡済みである。

　また関係機関などのうち、個人情報保護委員会には報告しており、今後、クレジットカード会社ならびに決済代行会社への報告を進めていく。

　なお、本サイトの再開時期につきましては、安全性が確認でき次第、改めて案内する。

　また二次被害防止のため、漏えいされた情報を悪用し、当社や公的機関、金融機関等を名乗った不審なメールや電話、SMSによる詐欺やなりすましが行われる可能性があるため、心当たりのない送信元から発信されたこれらの連絡への対応は行なわず、リンクなどが記載されていてもクリックされないよう、注意するよう伝えている。

　またクレジットカード情報の漏えいについて個別のメールを送付したユーザーにおいては、身に覚えのない利用履歴がないか確認し、心当たりのない履歴があった場合は速やかにカード裏面に記載のカード発行会社まで連絡するよう伝えている。

　なお本件に関する問い合わせは、「グッドスマイルカンパニー カスタマーサポート」のお問合せフォームより受け付けている。

　今回の情報漏えいについて同社は「お客様には多大なるご不便とご心配、ご迷惑をおかけしておりますことを重ねて深くお詫び申し上げます。」とコメントしている。

□「不正アクセスによるお客様情報流出の可能性について（第3報）」のページ
□「グッドスマイルカンパニー カスタマーサポート」お問い合わせフォームのページ