グッドスマイルカンパニーでクレジットカード情報漏洩のおそれ。決済ページに不正プログラム、2,800名が対象

株式会社グッドスマイルカンパニーの「グッドスマイルカンパニー公式ショップ」への不正アクセスで、クレジットカード番号の全16桁やセキュリティコードが漏洩したおそれがあることがわかりました。同社が2026年10月29日に公表した第3報で、クレジットカード決済ページに不正なプログラムが仕込まれていたと明らかにしています。

10月23日の初報では、カード番号の全桁やセキュリティコードは「含まれない」と説明していました。追加調査で、利用者が情報を入力する決済ページそのものが狙われていたことがわかり、影響の範囲が大きく変わっています。

第3報の要点は次の4つです。

• 10月21日13時55分～23日7時に決済ページへカード情報を入力した可能性がある2,800名は、カード番号全16桁・セキュリティコードまで漏洩したおそれがある
• 2,800名には、購入を完了していない人も含まれる
• カード情報を登録していた利用者は、カード番号下4桁と有効期限が漏洩したおそれがある（重複を除き402,466枚）
• 10月22日夜の注文に関係する7,673名は、氏名・住所・注文内容などが漏洩したおそれがある

本記事では、発表内容を整理したうえで、利用者が確認したいことと、ECサイトを運営する企業が見直したい対策を解説します。

不正アクセスで決済ページに不正プログラムが設置された

同社は、公式ショップで使うシステムの一部にあった脆弱性が悪用され、管理者権限を不正に取得されたと認識しています。

調査で確認された事実は、大きく2つです。1つは、サイトに記録された利用者情報が複数回閲覧されたことです。もう1つは、10月21日13時55分～23日7時の間、クレジットカード決済ページに不正なプログラムが設置されていたことです。閲覧と設置がどのような順序・手順で行われたかなど、攻撃の詳しい過程は公表されていません。

同社は、原因とみられる脆弱性について、最近報じられたPHPの脆弱性とは関係がないと説明しています。脆弱性の具体的な内容は公表されていません。

初報から第3報までの時系列

初報では「カード番号全桁は含まれない」としていた

初報の段階では、閲覧された可能性があるカード情報は、カードブランド、カード番号の下4桁、有効期限とされていました。カード名義、下4桁以外のカード番号、セキュリティコードは含まれないという説明でした。

初報を見て「カード番号は漏れていない」と判断した人も、第3報の内容で改めて確認することが大切です。

漏洩のおそれがある情報は3つの区分に分かれる

第3報では、漏洩のおそれがある情報を3つの区分に分けて説明しています。人数とカード枚数は別の指標で、区分どうしで人が重なる可能性もあるため、足し合わせて被害者の総数とみることはできません。

決済ページに入力した可能性がある人は、セキュリティコードまで対象

最も深刻なのがこの区分です。名義人名、カード番号全16桁、有効期限、セキュリティコードという、不正利用に悪用され得る主要なカード情報が漏洩したおそれがあります。

2,800名には、次の人が含まれます。

• カード決済で注文を完了した人（384名）
• カード決済を試みたが、完了しなかった人
• ログインして商品をカートに入れたが、決済に進まなかった人
• 予約注文のあとにカード情報を変更した人（185名）

同社は、カートに商品を入れただけの人からはカード情報は漏洩していないと考えています。ただ、システムに操作の記録が残っておらず、「決済を試みた人」と「カートに入れただけの人」を区別できません。そのため、該当する可能性がある人に広く個別連絡しています。2,800名は「カード情報の漏洩が確定した人数」ではなく、「漏洩の可能性があるため連絡した人数」です。

一方で、注文後にカード情報の変更を試みて、完了しなかった人も漏洩のおそれがあるとされています。この操作をした人は記録から特定できないため、個別メールが届いていない可能性があります。

登録済みのカードは、番号下4桁と有効期限が対象

公式ショップにカード情報を登録したことがある利用者は、カード番号の下4桁と有効期限が漏洩したおそれがあります。対象のカードは重複を除いて402,466枚で、対象人数は確認中です。

この区分では、名義人名とセキュリティコードの漏洩は確認されていません。同社は、これらのカード情報に結び付く会員情報の漏洩もないと説明しています。決済ページで入力した情報とは漏洩した可能性のある項目が異なるため、2つの区分は分けて理解する必要があります。

注文情報は、閲覧の可能性がある注文者全員に案内

10月22日22時20分前ごろ～23時前ごろの注文について、不正に閲覧されたことが確認されたのは202件です。ただし、どの注文が閲覧されたかを完全には特定できません。そのため、閲覧された可能性がある7,673件の注文に関係する7,673名を対象として案内しています。

7,673名全員の注文情報が漏洩したと確認されたわけではありません。とはいえ、氏名や住所、注文内容は、本物らしい詐欺メールを作る材料になり得ます。該当する人は、次の章の注意点も確認してください。

利用者が確認したいこと

当てはまる操作をした人は、カードの利用明細を確認する

個別メールが届いていなくても、次のいずれかに当てはまる人は、カードの利用明細を確認しておくと安心です。

• 10月21日13時55分～23日7時に、公式ショップでカード決済をした、または試みた
• 同じ期間に、予約注文のカード情報を変更した、または変更を試みた
• 公式ショップにカード情報を登録していた
• 10月22日22時20分前ごろ～23時前ごろに、公式ショップで注文した

不審な請求はカード発行会社へ連絡する

同社は、カード情報の漏洩について連絡を受けた利用者に、身に覚えのない利用履歴がないか確認するよう呼びかけています。不審な請求を見つけたら、カード裏面に記載された発行会社の窓口へすぐに連絡してください。

不正利用の前に、少額の決済でカードが使えるかを試す手口もあるため、少額の請求も見落とさないようにしましょう。カードの再発行など、その後の対応は発行会社の案内に従うのが確実です。

「再決済」「配送先の確認」をかたる連絡に注意する

注文情報には、連絡先や購入した商品の情報が含まれる可能性があります。こうした情報を使えば、実際の注文を装って「配送先の再確認」や「再決済のお願い」を送ることができます。同社も、自社や公的機関、金融機関などを名乗る不審なメール・電話・SMSに注意するよう呼びかけています。

心当たりのない連絡にあるリンクは開かず、公式サポートサイトから内容を確かめましょう。同社の問い合わせフォームは、被害を受けた公式ショップとは別のシステムで運用されていると案内されています。

同社は脆弱性を改修、公式ショップの再開は未定

同社は、別に保管していたサイト管理システムのソースコードをもとに、原因とみられる脆弱性を改修しました。あわせて、システム間の接続情報を一式無効にして更新し、そのほかのセキュリティ強化策も実施したと説明しています。

個人情報保護委員会への報告は済んでおり、カード会社と決済代行会社への報告も進める方針です。公式ショップは10月23日から閉鎖中で、再開時期は安全性を確認したうえで改めて案内するとしています。

EC運営企業が見直したい3つの対策

ここからは、今回の発表内容を踏まえて、ECサイトを運営する企業が見直したい対策を紹介します。今回の事例からは「原因とされるシステムの脆弱性」「入力画面への不正プログラムの設置」「調査に必要な記録の不足」という3つの課題が見えてきます。

対策1．外部に公開しているシステムの脆弱性を把握し続ける

同社は、公式ショップで使うシステムの脆弱性が悪用され、管理者権限を取得されたと認識しています。管理者権限を持つ攻撃者は、サイトの情報を閲覧したり、画面の内容を書き換えたりできる立場になり得ます。インターネットに公開しているWebサーバーやソフトウェアの脆弱性を放置しないことが、すべての対策の出発点です。

クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン」でも、2025年3月の6.0版から、EC加盟店のシステムとWebサイトの「脆弱性対策」が指針対策に位置付けられました。2026年3月の最新版（6.1版）では、カード情報を保持しているかどうかにかかわらず、EC加盟店に求められる対策とされています。年1回の診断だけでなく、自社がどんな資産を外部に公開しているかを把握し、新しい脆弱性が見つかったときにすぐ影響を判断できる状態を保つことが重要です。管理画面へのアクセス元の制限や、管理者アカウントの認証強化もあわせて確認しましょう。

対策2．決済ページで動くプログラムを管理し、改ざんを検知する

今回の手口の詳細は明らかにされていませんが、決済ページに不正なプログラムを仕込んで入力情報を盗み取る攻撃は、一般に「Webスキミング（eスキミング）」と呼ばれます。クレジットカード・セキュリティガイドラインでは、自社の機器・ネットワークでカード情報の「保存」「処理」「通過」のいずれも行わないことを「非保持化」と定義しています。ただし、非保持化を実現していても、カード情報を入力する画面を自社サイトで表示する方式では、その画面を改ざんされると入力内容を盗み取られるおそれがあります。

カード業界のセキュリティ基準を策定するPCI Security Standards Councilは、決済ページで動くスクリプト（画面上の処理を動かすプログラム）の管理と、改ざんの検知に関するガイダンスを公開しています。自社や委託先が追加したスクリプトについて、目的と承認状況を一覧で把握し、意図しない変更を検知できる仕組みがあるかを点検しましょう。

対策3．決済途中やカード変更の操作も記録に残す

今回は操作の記録がなかったため、決済を試みた人とカートに入れただけの人を区別できませんでした。注文完了の履歴だけでは、入力の途中で影響を受けた可能性がある人を絞り込めません。結果として、連絡対象が広がり、利用者の不安も大きくなります。

決済画面への移動やカード情報の変更といった操作について、調査に必要な日時と操作内容を残せるか確認してください。ただし、カード番号やセキュリティコードそのものをログに残さない設計が前提です。

なお、対策1で挙げた外部公開資産の把握は、担当者の手作業だけでは漏れが生じがちです。攻撃者と同じ視点で外部公開資産を継続的にスキャンし、対処すべき脆弱性を優先順位とともに可視化する仕組みを取り入れることも選択肢の一つです。

事故後は影響範囲の説明を更新し、外部での流通も確認する

今回、同社は初報のあとも調査を続け、決済ページへの不正プログラムの設置を新たに確認しました。初報の時点で影響範囲が確定しているとは限りません。調査で何がわかったか、誰に追加で連絡するかを整理し、利用者への案内を更新し続けられる体制を、開発・保守委託先と事前に決めておきましょう。

連絡の際は、「漏洩の可能性があるため連絡した対象」と「漏洩を確認した対象」を分けて伝えると、利用者が自分のとるべき行動を判断しやすくなります。

あわせて確認したいのが、漏洩のおそれがある情報が外部で出回っていないかです。顧客情報やカード情報は、ダークウェブ上のハッキングフォーラムやブラックマーケットで取引されることがあります。自社の調査だけでは見えない流出状況を専門家の調査で確かめることは、二次被害への備えになり、利用者や取引先への説明の根拠にもなります。

参考にした記事・公表資料

• グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第3報）」（2026年10月29日）
• グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について【2026年10月26日追記】」
• PCI Security Standards Council「New Information Supplement: Payment Page Security and Preventing E-Skimming」
• クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」（2026年3月）