グッドスマイルカンパニー、通販サイト不正アクセスでカード情報流出の可能性
フィギュア企画・製作・販売のグッドスマイルカンパニーは2026年10月29日、公式オンラインショップへの不正アクセスで約2800人分のクレジットカード情報が流出した可能性があると発表した。対象は10月21日午後から23日朝に決済ページへ情報を入力した利用者で、登録済みカード約40万枚の一部情報や注文情報の閲覧も確認されている。
何が起きたか
グッドスマイルカンパニーは2026年10月29日、公式オンラインショップが不正アクセスを受け、顧客のクレジットカード情報が流出した可能性があると発表した。カード名義、16桁のカード番号、有効期限、セキュリティコードを含む情報が漏えいした恐れのある利用者は約2800人に上る。不正アクセスが確認されたのは10月21日午後から23日朝にかけてで、決済ページに不正なプログラムが仕込まれ、入力情報が窃取されたとみられる。同社は23日朝に不正アクセスを検知し、調査を進めていた。
流出範囲の詳細
対象には、期間中にカード決済を完了した384人のほか、決済を試みた人やカートに商品を入れた人、予約後にカード情報を変更した185人が含まれる。同社のシステムには操作記録が残っておらず、決済を試みた人などを個別に特定できないため、該当する可能性のある全員に連絡しているという。また登録済みカードについては、重複を除いて40万2466枚分の番号下4桁と有効期限が漏えいした可能性がある。カード名義やセキュリティコード、カードに紐づく会員情報は漏えいしていないとしている。さらに10月22日午後10時20分ごろから午後11時ごろに注文した7673人分の氏名や住所、電話番号などが閲覧可能な範囲に含まれ、不正に閲覧された注文は202件と確認されたが、完全には特定できず7673人全員を対象とした。
企業・産業への影響
フィギュアやアニメ関連グッズは海外からの需要も大きく、同社の公式サイトは国内外のファンが利用する。決済ページを狙う攻撃はECサイトを運営する企業にとって経営リスクとなり得るため、対象顧客への周知と再発防止策の提示が求められる。カード情報の漏えいが確認された場合、利用者側では不正利用の監視やカードの再発行といった対応が必要になり得る。決済画面に外部プログラムを埋め込む手口はウェブスキミングと呼ばれ、同社は検知後に決済ページの安全性の確認と対策を進めているとみられるが、対策の具体的内容は資料で確認できない。