グッスマ公式ショップ、決済画面に不正プログラム。2,800人はカード全桁とセキュリティコードも。「再決済を」の連絡に注意

【10月29日更新】当初この記事は第2報までの内容で、「カード番号の全桁とセキュリティコードは含まれない」と書いていました。10月29日の第3報で、決済ページに不正なプログラムが仕掛けられていたことが分かり、内容を書き直しました。

• グッドスマイルカンパニー公式ショップへの不正アクセスで、カード決済のページに不正なプログラムが仕掛けられていたことが分かった（第3報、10月29日）
• 10月21日13時55分〜23日7時に決済ページを使った可能性のある2,800人は、カードの名義・番号の全16桁・有効期限・セキュリティコードが漏れた可能性がある。該当者には個別にメールで連絡済み
• このほか、登録したことのあるカードの下4桁と有効期限が402,466枚分、10月22日夜の注文7,673人分の注文情報。原因は脆弱性を突かれ管理者の権限を取られたこと（PHPの脆弱性ではない）

第3報で分かったこと

第3報によると、不正アクセスは10月19日15時過ぎ〜22日23時前。サイトは23日午前7時に閉鎖された。お客様情報が何度も閲覧されたほか、21日13時55分から23日7時まで、カード決済のページに不正なプログラムが置かれていた。このことが分かったのは10月28日18時30分過ぎだという。

漏れた可能性のある情報

2,800人に含まれる人

• 期間中にカードで注文した人（384人）
• カード決済を試みたが完了しなかった人
• ログインしてカートに商品を入れたが、決済に進まなかった人（カード情報は漏れていないと考えられるが、区別できないため連絡）
• 予約のあと、決済に使うカードを変更した人（185人）

システムに操作の記録が残っておらず、一部は特定できないため、可能性のある人全員に連絡したという。また、カードの変更を試みたが完了しなかった人も、漏れた可能性があるが特定できない。心当たりがあれば、カードの明細を確かめてほしいとしている。

原因と対応

• システムの一部の脆弱性が悪用され、管理者の権限が不正に取得されたと認識している。近時報告されたPHPの脆弱性ではない
• 脆弱性を改修し、システム間の接続情報を一式無効化・更新した
• 個人情報保護委員会に報告。カード会社と決済代行会社への報告を進める
• サイトの再開は、安全が確認でき次第案内する

対象の人がやること

カード情報のすべてが漏れた可能性がある人（個別メールが届いた人）

1. カードの明細を確かめる。覚えのない利用があれば、カードの裏面の番号からカード会社に連絡する
2. 不安なら、カード会社にカードの差し替え（番号の変更）を相談する
3. 10月21〜23日にカードの変更を試みた人も、メールが届いていなくても明細を確かめる

カードを登録していた人、注文した人

• 下4桁と有効期限だけでは決済には使えないが、詐欺の「本物らしさ」に使われる
• グッドスマイルカンパニー、公的機関、金融機関を名乗るメール・SMS・電話に注意する

「再決済してください」の連絡に気をつける

ここからは筆者の見方だ。詐欺を仕掛ける側にとって、条件がそろいすぎている。

• 漏れた情報で、名前、住所、何を予約したか、金額、カードの下4桁まで分かる
• 実際に本物の「決済エラー」の自動案内が出回っている。同社は、サイトの閉鎖で再決済できない人は問い合わせフォームから連絡するよう案内し、注文が自動でキャンセルされることはないとしている
• 公式ショップは閉鎖中

「ご予約の〇〇の決済に失敗しました。カードの再登録はこちら」という連絡は、本物と見分けるのが難しい。リンクは開かず、自分でグッドスマイルカンパニーの公式サイトを開き、サポートのページからたどる。電話でカード番号の全桁やセキュリティコードを聞かれたら、詐欺だ。

決済ページを持つ側の教訓

これも筆者の見方だ。カード番号を自社で保存しない仕組みでも、入力する画面を書き換えられれば盗まれる。今週のツクツク!!!の件と同じ構図だ。今回は、管理者の権限を取られたことが入口になった。

• 管理画面への入口を絞る（接続元の制限、多要素認証）
• 決済ページのファイルが変わったら、すぐ分かるようにする
• 操作の記録を残す。今回は記録がなく、対象者を特定できない部分があった

第1報の閲覧の発覚から、決済ページの改ざんが分かるまで5日かかった。「閲覧された」と分かった時点で、決済ページの改ざんも疑うことが、被害を小さくする。

まとめ

• グッスマ公式ショップの決済ページに不正プログラム（10月21日13:55〜23日7:00）。2,800人はカードの全桁・セキュリティコードまで漏れた可能性
• 登録カードの下4桁と有効期限は402,466枚、10月22日夜の注文情報7,673人
• 原因は管理者権限の不正取得。PHPの脆弱性ではない
• 該当者は明細の確認とカード会社への相談。「再決済」をうたう連絡のリンクは開かない

出典

• グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第3報）」（2026年10月29日）
• グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について【2026年10月26日追記】」（2026年10月23日公開、10月26日追記）

本記事は2026年10月29日時点の公式発表に基づく。件数などは調査中で、続報で変わる可能性がある。「再決済」を装う連絡の例と「決済ページを持つ側の教訓」は筆者の見方である。