【続報】グッドスマイル公式ショップ不正アクセス、原因は「PHPの脆弱性ではない」｜全会員に個別メール

グッドスマイルカンパニーは2026年10月26日、公式ショップへの不正アクセスについてのお知らせに追記を出しました。原因は「PHPの脆弱性ではない」と明記したほか、すべての会員（本件で退会した元会員を含む）に個別メールで案内することを決めています。

Amazon PayやPayPalで支払った注文のカード情報、楽天市場店などの別サービスは影響を受けていないことも示されました。この記事では、10月26日の追記で新たに分かったことを整理します。10月23日の最初の発表の内容は、前回の記事をご覧ください。

10月26日の追記で分かったこと

項目	追記の内容
気づいたきっかけ	10月23日6時過ぎ、サイトのシステム開発・保守の委託先からの連絡で、不正アクセスを認識した
原因	PHPの脆弱性によるものではない。PHPの脆弱性への対応は、10月21日〜22日のメンテナンスで実施済み
外部決済の注文	Amazon Pay、PayPalなどの外部決済サービスの注文は、各社の認証システムで処理されており、同社のサーバーにカード情報は保持していない
影響のないサービス	「ねんどろいどフェイスメーカー」と楽天市場店（GOOD SMILE STORE 楽天市場店）は別のシステムで運用しており、影響はない
会員への連絡	すべての会員（本件で退会した元会員を含む）に、お知らせと同じ内容を個別メールで送る

閲覧された可能性のある情報の範囲は、10月23日の発表から変わっていません。氏名・住所・電話番号・メールアドレスなどの基本情報、注文情報、カードのブランド・番号の下4桁・有効期限です。カードの名義、番号の全桁、セキュリティコードは含まれていません。件数は、今回の追記でも示されていません。

同社は最初の発表で、原因を「脆弱性による不正アクセス」と説明していました。追記ではそのうえで、PHPの脆弱性が原因ではないと明記しています。10月21日〜22日に実施したメンテナンスは、PHPの脆弱性への対応だったとしています。

不正アクセスは10月19日15時過ぎから22日22時ごろまで続いており、この期間はメンテナンスと重なります。ただし、原因がどの脆弱性だったのかは、今回も示されていません。

公式ショップは閉鎖が続いており、再開の見通しは示されていません。追記では、閉鎖中の注文の扱いも案内されています。

ケース	扱い
10月発送予定の注文・予約商品	すでに受け付けた分は、順次出荷・発送を進めている
予約注文の決済エラー（クレジットカード・PayPal）	決済エラーの自動案内が届いても、サイト閉鎖で再決済できない場合は、お問い合わせフォームから連絡する。注文が自動的にキャンセルされることはない
退会	閉鎖中も通常どおり受け付ける。お問い合わせフォームから手続きする

お問い合わせフォームは、公式ショップとは別のシステムで運用されているとしています。