「カード名義、カード番号の全桁（下4桁除く）及びセキュリティコードは含まれません」。10月23日の第1報にあった説明です。6日後の第3報で、グッドスマイルカンパニーは2,800名について、まさにその3つが漏えいした可能性があると改めました。何が変わったのかを読み解くと、サイトから情報が漏れる道は1本ではなかったことが見えてきます。
株式会社グッドスマイルカンパニーは2026年10月29日、ECサイト「グッドスマイルカンパニー公式ショップ」への不正アクセスについて第3報を公表した。10月21日13時55分から23日7時まで、クレジットカード決済ページに不正なプログラムが設置されていたことが判明し、この間にカード情報を入力した可能性のある2,800名の名義人名、番号全16桁、有効期限、セキュリティコードが漏えいした可能性があるとした。登録されたカード402,466枚の番号下4桁と有効期限、10月22日夜の注文について、同社が7,673名とする顧客の氏名、住所などの注文情報も漏えいの可能性がある。
同社は、システムの一部の脆弱性を悪用され管理者権限を不正に取得されたと認識しており、サイトは10月23日から閉鎖している。
From: 
不正アクセスによるお客様情報流出の可能性について（第3報）（グッドスマイルカンパニー）
【編集部解説】
フィギュアメーカーのグッドスマイルカンパニーが10月29日に公表した第3報は、10月23日の第1報から読んできた人ほど戸惑う内容でした。第1報と、それに追記した26日の第2報は、カードの名義、番号の全桁、セキュリティコードは「含まれません」としていました。第3報では、2,800名について、まさにその3つが漏えいした可能性があると改めています。
同社は第3報で、第2報までの内容から一部の情報に変更が生じたとしています。そのうえで読み比べると、漏れ方が2つに分かれていることが見えてきます。1つは、第1報から扱われてきた、サイトに記録された情報の「閲覧」です。第3報によれば、サイトに登録されていたカードについて漏えいの可能性があるのは番号の下4桁と有効期限で、名義とセキュリティコードの漏えいは確認されていません。対象のカードは、重複を除いて402,466枚です。
もう1つが、第3報で新たに判明した、クレジットカードの決済ページそのものに、不正なプログラムが仕込まれていたという事実です。期間は10月21日13時55分から、サイトを閉じた23日7時まで。この間に決済ページへ入力されたカード情報が漏えいした可能性があります。本件の不正なプログラムの詳しい動作は公表されていませんが、一般に、決済画面を改ざんして入力された情報を盗む手口は、ウェブスキミングなどと呼ばれます。サイトにカード番号を保存していなくても、入力の画面を改ざんされれば番号は漏れうる、という点がこの事案の核心です。
同社は原因を、サイトで使っていたシステムの一部にあった脆弱性を悪用され、管理者権限を不正に取得されたことだとしています。10月21日から22日にかけて同社はPHPの脆弱性への対応のためのメンテナンスを行っていましたが、今回の原因は近時報告されたPHPの脆弱性ではないと、第2報・第3報で明言しています。脆弱性の具体的な内容や、システムの製品名は公表されていません。
数字は、区分ごとに意味が違います。2,800名は、決済ページにカード情報を入力した「可能性のある」人の数です。内訳には、カード決済で注文した384名、予約後に支払いのカードを変更した185名のほか、決済を試みて完了しなかった人、ログインしてカートに商品を入れたものの決済手続きに進まなかった人が含まれます。
最後の「カートに入れただけ」の人について、同社はカード情報の漏えいは発生していないと考えられるとしています。それでも、サイトのシステムに操作の記録が残っておらず、決済を試みた人とカートに入れただけの人を区別できないため、4つの区分のいずれかに当たる可能性のある人すべてに個別のメールで連絡しました。2,800名は、漏えいが確認された人数ではありません。一方で、この4つの区分とは別に、注文後に支払いのカードの変更を試みて完了しなかった人にも漏えいの可能性があり、同社は記録がないため特定できないとしています。2,800名は、漏えいの可能性がある人の全体を示す上限でもないということです。
注文情報で同社が対象とする7,673名（告知では7,673件の注文とも表記）も、同じ考え方です。不正に閲覧された注文は202件でしたが、どの注文が見られたかを完全には特定できないため、10月22日22時20分前ころから23時前ころまでに注文した人すべてを対象にしています。漏えいの可能性があるのは、届け先や請求先の氏名・住所・電話番号、メールアドレス、注文内容、金額、決済方法です。
影響の範囲については、カード情報と注文情報を分けて読む必要があります。Amazon PayやPayPalなどの外部決済で支払った注文について、同社はカード情報が各決済事業者の側で処理され、自社のサーバーには保持されていないと説明しています。ただし、これは注文情報まで影響がないという説明ではありません。一方、「ねんどろいどフェイスメーカー」とGOOD SMILE STORE 楽天市場店、英語版の告知によれば米国・欧州・英国の各ストアは、別のシステムで動いており、今回の不正アクセスの影響はないとされています。
経緯を時系列で並べます。第3報によると、不正アクセスがあったのは10月19日15時過ぎころから22日23時前ころまでです。これとは別に、決済ページに不正なプログラムが置かれていた期間は、21日13時55分から23日7時までとされています。同社は23日6時過ぎ、サイトの開発・保守を任せている委託先からの連絡で事態を把握し、同じ朝の7時にサイトを閉じています。不正なプログラムの設置が分かったのは28日18時30分過ぎでした。閉鎖から5日後の判明でしたが、同社は判明の翌朝、29日の早朝には新たに漏えいの対象と判明した人にメールで知らせたと説明しています。
第3報の冒頭で、同社は第2報までの内容から一部の情報に変更が生じたことを明記し、改めて謝罪しています。不正アクセスの調査では、調べが進んで新たな事実が分かり、説明の更新が必要になることがあります。変わった点を利用者に届く形で示し、区別できない人まで広めに連絡したことは、利用者が自分の状況を判断するための材料になります。
決済ページの改ざんによるカード情報の漏えいは、国内のECサイトで繰り返し起きてきた手口です。日本クレジット協会が主要事業者48社を対象に集計した結果では、2026年1〜6月のクレジットカード不正利用被害額は221.3億円で、そのうちカード番号などを盗まれて使われる「番号盗用」が206.1億円、93.1%を占めました。番号盗用には、フィッシングなど決済ページの改ざん以外の経路で盗まれた番号も含まれますが、盗まれた番号が使われる被害が大半を占める状況は続いています。
業界の側でも対策は積み上がってきました。カード会社や加盟店などでつくるクレジット取引セキュリティ対策協議会は、2025年3月にまとめた「クレジットカード・セキュリティガイドライン」6.0版で、ECサイトを営む加盟店に、管理画面へのアクセス制限や管理者のIDとパスワードの管理、Webアプリケーションの脆弱性対策などを求めるようにしました。2026年3月に承認された最新の6.1版でも、この枠組みは変わっていません。サイトの開発や保守を外部に任せていても、管理画面と決済ページを守ることが、カード情報を自社で持たない「非保持化」などと並ぶ、もう一つの柱になっています。
対象者として個別のメールを受け取った人は、カードの利用明細に覚えのない請求がないかを確かめ、あればカード裏面に記載された発行会社に連絡してください。番号の変更や再発行の扱いは、カード会社に相談するのが確実です。メールを受け取っていない人でも、注文後に支払いのカードの変更を試みて完了しなかった人は、記録が残っていないため特定できないと同社は説明しています。心当たりがあれば、同じように明細を確かめておくと安心です。
注文の内容や届け先を知っている相手からの連絡は、本物に見えやすくなります。同社は、同社や公的機関、金融機関を名乗る不審なメール、電話、SMSに応じず、リンクを開かないよう呼びかけています。問い合わせは、サイトとは別のシステムで動いているカスタマーサポートの問い合わせフォームが窓口です。
公式ショップの再開時期は、安全性が確認でき次第、改めて案内するとしています。サイトが閉じている間も、10月発送予定の注文と予約商品は順次出荷され、予約の決済エラーで再決済できない場合は問い合わせフォームで受け付け、注文が自動的にキャンセルされることはないとしています。ねんどろいどをはじめとする新作を待つファンにとって、公式ショップは日々の窓口です。今回の経験が、決済ページという最も信頼が求められる場所の守り方を、同社と業界の双方で一段引き上げるきっかけになることを期待します。
【関連記事】
skyticket、カード情報最大6,140名分の流出を第2報で公表 2018年以前の決済ログが残存
同じ10月に公表された旅行予約サイトの事案。カード情報を保管しない方式へ移った後も、2018年以前の決済ログが残っていた。
楽天トラベルに不正アクセス、海外ホテル予約で最大260万件が対象 予約者の一部はカード下4桁なども
カードの下4桁や有効期限が対象になった、同じ時期の旅行予約サイトの事案。2つの事象の違いと、なりすましの連絡への備えを整理した。
【解説】PHP2Shell、AIが見つけたPHPの重大脆弱性 CVE番号の流出で公開を前倒し
10月21日に修正されたPHPの重大な脆弱性の解説。グッドスマイルカンパニーは、今回の原因はこの脆弱性ではないとしている。
情報が漏れたかもしれないときの手引き｜漏れた情報別にできること
メールやパスワード、カード、口座など漏れた情報の種類ごとに、まず確かめることと相談先をまとめた手引き。カード情報の章もある。
お金を盗られたら戻るのか｜不正利用・不正送金・詐欺の補償の地図
カードの不正利用や不正送金が起きたとき、補償を受けるための届け出の期限と条件を、カード・銀行・スマホ決済などごとにまとめた。
【編集部後記】
10月21日から22日にかけて、グッドスマイルカンパニーはPHPの重大な脆弱性に対応するためのメンテナンスを行っていました。第2報にある一文です。
第3報によれば、決済ページに不正なプログラムが置かれたのは21日の13時55分。世間を騒がせた脆弱性への手当てが進んでいたのと同じころです。同社によれば、原因はそのPHPの脆弱性ではなく、サイトのシステムの別の脆弱性でした。
話題になった脆弱性を塞いだ日に、自社のサイトの「ほかの扉」まで見て回る余裕は、どれだけの事業者にあるでしょうか。
【用語解説】
ウェブスキミング
ECサイトの決済画面などを改ざんし、利用者が入力したカード番号などを盗み取る手口の総称。サイトがカード番号を保存していなくても、入力の画面が狙われれば情報が漏れうる。
セキュリティコード
カードの裏面などに印字された3〜4桁の番号で、通信販売などでカードを持っていることの確認に使われる。今回の第3報では、2,800名について漏えいの可能性があるとされた。
管理者権限
サイトの設定や中身を変更できる、管理する立場の権限。同社は、システムの一部の脆弱性を悪用されてこの権限を不正に取得されたと認識している。
番号盗用
日本クレジット協会の統計の区分で、盗まれたカード番号などを使って本人になりすまし、決済される被害を指す。フィッシングなど、盗まれた経路は問わない。
非保持化
カード番号などを、自社の機器やネットワークで保存・処理・通過させない状態にすること。クレジットカード・セキュリティガイドラインが加盟店に求める対策の柱の一つである。
PHP
Webサイトの開発で広く使われるプログラミング言語。10月に重大な脆弱性が公表されたが、同社は今回の原因はこの脆弱性ではないと明言している。
【参考リンク】
不正アクセスによるお客様情報流出の可能性について【2026年10月26日追記】（外部）
グッドスマイルカンパニーの第1報と第2報。閲覧された可能性のある情報と、影響のない外部決済や別システムのサービスを案内している。
クレジット関連統計（日本クレジット協会）（外部）
日本クレジット協会の統計のページ。主要なカード会社48社を対象にした、クレジットカード不正利用被害額の四半期調査を掲載している。
クレジットカード・セキュリティガイドライン（日本クレジット協会）（外部）
ガイドライン最新の6.1版と、EC加盟店向けのセキュリティ対策導入ガイドなどの附属文書を公開している、日本クレジット協会の資料ページ。
【参考記事】
グッスマ、不正アクセスでカード情報漏えいの可能性 2800名（Impress Watch）（外部）
2026年10月29日の記事。第3報の2,800名や402,466枚などの区分と、カード会社や決済代行会社への報告予定を伝えている。
「グッドスマイルカンパニー公式ショップ」、決済ページの改ざんでクレジットカード情報を含む個人情報が漏えいの可能性（INTERNET Watch）（外部）
2026年10月29日の記事。決済ページに不正なプログラムが置かれた期間と、管理者権限を奪われたという原因の説明を整理している。
グッスマに不正アクセス、公式EC閉鎖 会員の住所や注文履歴など漏えいか 再開目処立たず（ITmedia NEWS）（外部）
2026年10月26日の記事。第1報の時点で閲覧された可能性のある会員情報と、カードの全桁は含まれないとした当初の説明を伝えている。
「クレジットカード・セキュリティガイドライン」の2026年の改訂について（クレジット取引セキュリティ対策協議会 ）（ペイメントナビ）（外部）
2026年4月21日の記事。6.1版が新たな対策を加えずに承認された経緯と、2025年の不正利用被害額510.5億円を伝えている。
