概要

2026年10月19日15時過ぎ頃～22日23時前頃に「グッドスマイルカンパニー公式ショップ」が不正アクセスを受けた。23日6時過ぎ頃、システム開発・保守の委託先から連絡があって判明し、同日7時にサイトを閉鎖した。システムの一部にあった脆弱性を悪用されて管理者権限を奪われ、登録された利用者情報が複数回閲覧された。さらに21日13時55分～23日7時には、クレジットカード決済ページに不正なプログラムが設置されていた。この期間に決済ページでカード情報を入力した可能性がある2800人について、名義人名・カード番号（全16桁）・有効期限・セキュリティコードが漏えいした可能性がある。また、登録済みカード40万2466枚（重複除く）の番号下4桁と有効期限、10月22日22時20分前頃～23時前頃の注文7673件分の氏名・住所・電話番号・メールアドレス・注文内容なども漏えいした可能性がある。不正に閲覧された注文は202件。同社は10月23日に第1報、29日に第3報を公表した。

経緯

経緯情報は未登録です。

原因

サイトで使っていたシステムの一部の脆弱性を悪用され、管理者権限を不正に取得された。その後、クレジットカード決済ページに不正なプログラムが設置された。同社によると、原因とみられる脆弱性は最近報告されたPHPの脆弱性ではない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

あり

金銭的被害

不明

対象システム

グッドスマイルカンパニー公式ショップ、クレジットカード決済ページ

漏洩した情報

• 可能性ありクレジットカード名義人名・番号（全16桁）・有効期限・セキュリティコード（2800人）
• 可能性あり登録クレジットカードの番号下4桁・有効期限（40万2466枚）
• 可能性あり注文情報（届け先・請求先の氏名、住所、電話番号、メールアドレス、注文内容、金額、決済方法）7673件
• 確認済み注文情報202件の不正閲覧

カード情報をすべて抜き取られた可能性がある利用者は2800人、カード情報の一部が漏えいした可能性がある登録カードは40万2466枚、注文情報が漏えいした可能性があるのは7673件。サイトは閉鎖された。

対応

2026年10月23日7時にサイトを閉鎖し、同日中に第1報を公表した。その後、第2報・第3報で詳細を公表した。カード情報が漏えいした可能性のある利用者には個別にメールで連絡し、不審なメール・電話・SMSへの注意を呼びかけている。

• サイトの閉鎖
• 対象者への個別メール連絡
• 不審な連絡への注意喚起

教訓・対策

• ECサイトのシステムの脆弱性を管理し、管理者権限の不正取得を防ぐ必要がある
• 決済ページの改ざんを検知する仕組みが必要
• 影響範囲を特定できるよう、操作ログを保持すべき

参考資料

1. 「グッドスマイルカンパニー公式ショップ」、決済ページの改ざんでクレジットカード情報を含む個人情報が漏えいの可能性
   INTERNET Watch公開日: 2026-10-29報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

グッドスマイルカンパニー

関連するインシデント

関連付けられたインシデントはありません。