グッドスマイルカンパニー公式ショップへの不正アクセスについて、2026年10月30日に、注文情報の対象説明を訂正した第4報が公開されました。カード番号全桁やセキュリティコードの漏えいのおそれがある2,800名と、カード番号下4桁・有効期限の漏えいのおそれがある40万2,466枚は、別の区分です。
予約しただけ、決済が途中で止まった、商品をカートに入れただけという場合も、公式案内の確認が必要です。
グッスマ第4報：カード情報と注文情報の対象
| 区分 | 対象・確認内容 |
|---|---|
| カード全桁等の漏えいのおそれ | 2,800名。カード名義・番号全16桁・有効期限・セキュリティコード |
| 登録済みカードの一部情報 | 40万2,466枚。カード番号下4桁・有効期限 |
| 注文情報の漏えいのおそれ | 出荷処理未了の注文を持つ5,356名・7,774件のうち、最大202件（202名以下）の注文情報が閲覧された可能性。該当注文を特定できず、5,356名全員に通知 |
| 不正プログラムがあった期間 | 10月21日13:55～23日7:00 |
| 公式ショップ | 10月23日7:00から閉鎖。再開時期未定 |
2,800名のカード全桁漏えいが確定したという発表ではありません。 また40万2,466は「枚数」であって「人数」ではありません。対象と単位が異なるため、合計の被害人数は分かりません。
注文情報は5,356名・7,774件の一部が対象
対象となる母集団は、2026年10月22日23時前頃までに注文し、その時点で出荷処理が終わっていなかった注文です。注文した時間帯を同日22時20分頃～23時前頃に限定する旧説明は訂正されました。5,356名全員の情報が閲覧されたという発表ではなく、7,774件のどの注文が該当したかを特定できないため、母集団の全員に連絡しています。
注文情報の対象は、配送先・請求先の氏名、住所、電話番号、メールアドレス、注文内容、金額、決済方法です。「決済方法」はカードやコンビニ払いなどの種類を指し、カード番号や銀行口座情報そのものは含みません。カード全桁等の区分とは別に確認してください。
| 自分の区分 | 確認先と最初の行動 |
|---|---|
| 対象期間にカード情報を入力・変更した可能性がある | 個別通知とカード明細を確認。不審な利用はカード会社へ相談。カード変更が未完了だった場合は通知の有無だけで対象外としない。 |
| 登録済みカードの下4桁・有効期限の区分 | 全桁等の区分と分けて公式第4報・FAQを確認。不明な点はカスタマーサポートへ。 |
| 出荷処理未了の注文を持っていた | 注文番号と受付メールを手元に、個別通知・発送案内を確認。対象注文の特定可否や決済エラーは公式サポートへ問い合わせる。 |
2,800名は誰？ 購入が完了していなくても対象
対象は、10月21日13時55分～23日7時にカード決済ページで情報を入力した可能性のある人です。同社は次の利用者を含むと発表しました。
- カード決済で注文した384名
- カード決済を試みたが、決済が完了しなかった人
- ログインして商品をカートに入れたが、決済には進まなかった人
- 予約後に決済カードを変更した185名
2と3の操作記録を区別できないため、情報入力の有無が分からない人も通知対象に含まれています。カートに入れただけの人はカード情報の漏えいが発生していないと考えられると同社は説明しています。
また、注文後にカード変更を試みて完了しなかった人は、カード情報漏えいの可能性があっても記録から特定できないとしています。個別メールが届かない場合でも、心当たりがあれば公式サポートへ確認してください。
登録済みカード40万2,466枚は何が違う？
別区分では、公式ショップに登録したことのあるカードについて、カード番号の下4桁と有効期限に漏えいの可能性があると発表しました。重複を除いた対象カード枚数が40万2,466枚です。
この区分では、カード名義人とセキュリティコードの漏えいは確認されておらず、紐付く会員情報の漏えいもないと説明しています。2,800名のカード全桁・セキュリティコードの区分と混同しないことが重要です。
すでに決済した・予約した商品の扱い
10月発送予定の注文と予約商品は、ショップが閉鎖中でも順次出荷・発送作業を進める方針です。また、決済エラーで再決済できない予約注文について、同社は自動的にはキャンセルされないと案内しています。
注文番号や受付メールは保管し、決済エラーが届いた場合は公式サポートから問い合わせてください。不審なメールのリンクからカード番号を再入力しないよう注意してください。
カード情報が心配な人の確認手順
- 公式からの個別メールを確認する。2,800名には個別連絡が実施されています。
- カードアプリや明細で、覚えのない請求や少額決済がないか調べる。
- 不審な利用を見つけたら、カード発行会社の公式窓口に速やかに相談する。
- 自分が対象か分からない場合、偽の問い合わせ先を避けて公式問い合わせフォームから確認する。
カード停止・再発行の必要性は、カード会社と状況を確認して判断してください。
原因は最近のPHP脆弱性？
同社は、サイト内のシステムの脆弱性が悪用され、管理者権限を不正取得されたと説明しています。一方、第4報には、原因と思われる脆弱性は近時報告されたPHP脆弱性ではないと明記されています。特定のCVEや攻撃者は公表されていません。
よくある質問
公式からメールが来なければ安全？
カード全桁等の可能性がある2,800名には連絡済みですが、操作記録が残っていない人を特定できないケースもあります。該当する操作に心当たりがある場合は、公式サポートにご相談ください。
予約品はすべてキャンセルされる？
いいえ。決済エラーで再決済できない予約注文についても、自動キャンセルにはならないと発表されています。
40万2,466人のカード全情報が流出した？
違います。発表されたのは40万2,466枚のカード番号下4桁・有効期限の漏えい可能性です。全桁等の対象2,800名とは別です。
公式情報と更新履歴
2026年10月31日訂正：公式第4報の訂正に合わせ、注文情報の「7,673名」という旧説明を改めました。出荷処理未了の注文を持つ5,356名・7,774件と、そのうち最大202件の閲覧可能性を分けて記載しています。カード情報の2区分とは合算しません。
グッドスマイルカンパニー公式FAQもご確認ください。
