グッドスマイルカンパニー公式ショップに不正アクセス｜注文内容・カード下4桁も閲覧の可能性、サイト閉鎖中

フィギュアメーカーのグッドスマイルカンパニーは10月23日、ECサイト「グッドスマイルカンパニー公式ショップ」が第三者の不正アクセスを受け、会員の個人情報などが不正に閲覧されたと発表しました。氏名や住所に加えて、注文内容と、クレジットカードのブランド・番号の下4桁・有効期限も対象です。

同社は不正アクセスが分かった直後にサイトを閉鎖しており、再開の見通しはまだ示されていません。この記事では、公式発表をもとに、閲覧された可能性のある情報、原因、会員がやるべきことを整理します。

何が起きたか

システムログを解析した結果、2026年10月19日15時過ぎから22日22時ごろにかけて、公式ショップの管理情報に、複数回の不正アクセスによる閲覧があったことが判明しました。詳細は確認中としています。

グッドスマイルカンパニーは判明後ただちにサイトを閉鎖し、原因の確認を進めています。10月23日には個人情報保護委員会に報告しました。作業が終わる見込みは、現時点では案内できないとしています。

区分	情報
基本情報	氏名、読み仮名、性別、住所、電話番号、メールアドレス
注文情報	注文日、商品名、数量、金額、お届け先の住所・氏名・電話番号（別に登録していた場合）、決済方法、決済状況
クレジットカード情報	カードのブランド、カード番号の下4桁、有効期限

カードの名義、番号の全桁（下4桁を除く部分）、セキュリティコードは含まれないとしています。件数は公表されていません。対象になる可能性のある会員には、確認が終わり次第、個別のメールで連絡するとしています。

今回の対象には、何を、いつ、いくらで買ったかという注文情報まで含まれています。フィギュアなど趣味の商品の購入履歴は、本人にとって知られたくない情報である場合もあります（この点は筆者の補足です）。

原因は調査中ですが、現時点では脆弱性を突かれた不正アクセスと認識しているとしています。原因と思われる脆弱性はすでに改修し、システムのセキュリティを強化したうえで、調査と対応を続けています。どのような脆弱性だったかは公表されていません。

グッドスマイルカンパニーは、漏えいした情報を悪用して、同社や公的機関、金融機関などを名乗る不審なメール・電話・SMSによる詐欺やなりすましが行われる可能性があると注意を呼びかけています。心当たりのない送り主からの連絡には対応せず、記載されたリンクもクリックしないよう求めています。

今回は商品名や金額、カード番号の下4桁まで閲覧された可能性があります。「ご注文の商品について」「カードの再登録が必要です」など、実際の注文内容を引き合いに出したもっともらしい連絡が来ても、そのまま信用しないことが大切です（筆者の考えです）。

同社の発表では、カード番号の全桁とセキュリティコードは含まれていません。そのため、閲覧された情報だけでカードを使われる可能性は低いと考えられます。それでも、念のためカードの利用明細に見覚えのない請求がないか確認しておくと安心です（筆者の考えです）。

本件の問い合わせは、カスタマーサポートのお問い合わせフォームで受け付けています。このフォームは、公式ショップとは別のシステムで運用されているとしています。

ここからは、公式発表をもとにした筆者の考察で、推測を含みます。

不正アクセスの対象が「本サイトの管理情報」とされている点が気になります。会員の個人情報、注文、カード情報の一部がまとめて閲覧されていることから、ECサイトの管理画面や、それに相当する権限で情報を見られる状態になっていた可能性があります。

不正アクセスは10月19日から22日まで約3日間、複数回にわたって続いていました。ログの解析で判明したとされていますが、いつ、どのように異常に気づいたのかは示されていません。発覚までの時間が、閲覧された範囲を広げた可能性があります。

一方で、カード番号の全桁やセキュリティコードは保持していなかったため、カードの不正利用に直結する情報は守られました。この1か月の情報漏えいでも、決済情報を持たない設計が被害を抑えた例は少なくありません。

グッドスマイルカンパニーの公式ショップで、10月19日から22日にかけて不正アクセスがあり、会員の氏名・住所・連絡先、注文内容、カードのブランド・下4桁・有効期限が閲覧された可能性があります。原因は脆弱性とみられ、サイトは閉鎖中で再開の見通しは立っていません。

会員の人は、同社や金融機関などを名乗る不審な連絡に注意し、カードの利用明細も確認してください。対象者には個別のメールで連絡が来る予定です。