グッドスマイルカンパニー 公式 ECサイトに不正アクセス、会員情報や購入履歴を不正閲覧　カード下4桁・有効期限も対象、悪用リスクと対策

フィギュアやホビー商品を手がけるグッドスマイルカンパニーは2026年10月23日、ECサイト「グッドスマイルカンパニー公式ショップ」で第三者による不正アクセスが発生し、会員の個人情報等が不正に閲覧されたことを確認したと発表しました。アクセスの痕跡が確認された期間は10月19日15時過ぎから22日22時ごろです。同社は公式ショップを閉鎖し、原因調査と安全確認を進めています。

閲覧された可能性があるのは氏名、住所、メールアドレスなどの会員情報だけではありません。購入した商品の名称、注文金額、決済状況、別途登録された配送先の氏名・住所・電話番号、クレジットカードのブランド・番号下4桁・有効期限も対象です。注文内容を把握した第三者が配送や決済の確認を装って連絡するなど、情報の組み合わせを利用した二次被害が懸念されます。ただし、以下の悪用例は可能性を示すもので、今回実際に発生したと確認されたものではありません。

グッドスマイルカンパニーへの不正アクセスのサマリー

• 公表日：2026年10月23日。対象は「グッドスマイルカンパニー公式ショップ」です。
• 不正アクセスの確認期間：10月19日15時過ぎ〜10月22日22時ごろ。管理情報が複数回不正に閲覧されました。
• 氏名、読み仮名、性別、住所、電話番号、メールアドレスが閲覧対象となった可能性があります。
• 注文日、商品名、数量、金額、決済方法・決済状況のほか、別途登録した届け先情報も対象です。
• カード情報はブランド、カード番号の下4桁、有効期限。カード名義、残りの番号、セキュリティコードは含まれません。
• 同社は原因を脆弱性による不正アクセスと認識していますが、詳細は調査中です。
• 公式ショップを閉鎖し、原因とみられる脆弱性の改修などを実施。再開時期は示されていません。
• 10月23日に個人情報保護委員会へ報告し、対象となる可能性がある会員には確認後、順次メールで通知する予定です。
• 影響を受けた会員の人数、外部へのデータ持ち出しの有無、パスワードへの影響は公表資料からは確定できません。

10月19日から22日までに管理情報へ複数回アクセス、公式ショップを閉鎖

グッドスマイルカンパニーがシステムログを解析したところ、10月19日15時過ぎから22日22時ごろにかけ、公式ショップの管理情報が第三者に複数回閲覧されていました。会社は不正アクセス判明後、公式ショップを閉鎖しました。

現時点ではシステムの脆弱性が悪用されたと認識しており、原因とみられる箇所は改修しています。一方、調査は継続しており、具体的な脆弱性、侵入経路の全容やサイト再開の見込みは示されていません。特定のソフトウェア名やCVE番号、攻撃者については公表されていないため、ほかのECサイトで確認された事件と同一の侵入経路であるとは判断できません。

同社は10月23日に個人情報保護委員会へ報告し、影響対象の確認ができた会員には順次メールで連絡する予定です。問い合わせは、本体ECサイトとは別のシステムで運用している公式カスタマーサポートで受け付けています。

注文履歴・配送先情報の悪用リスク――実際の注文と一致する詐欺メールの先例も

グッドスマイルカンパニーの発表では、会員の連絡先だけでなく注文日、商品名、数量、金額、決済状況、別途登録された配送先の氏名・住所・電話番号も不正閲覧の対象となった可能性があります。商品名や注文金額まで把握した相手からの連絡は、一般的な迷惑メールよりも正規の注文・配送案内と誤認されやすくなります。

セキュリティ対策Labが報じたアバハウスの不正アクセス事例では、2026年9月28日に複数の顧客から、実際の注文情報と一致する不審な「返金」案内メールの受信報告が寄せられました。注文に関する具体的な情報が詐欺メールに使われた実例です。ただし、これはアバハウスの別事件であり、グッドスマイルカンパニーの情報がすでに同様の手口に利用されたことを示すものではありません。

今回の情報項目から考えられる悪用例は、購入した商品名や予約時期を挙げた「発送確認」「配送先住所の再確認」「欠品・返金」「決済の再処理」、あるいは限定商品に関する偽キャンペーンです。これらを口実に偽サイトへ誘導し、ログイン情報、カード番号の残りの桁、認証コードを入力させる危険性があります。

会員本人とは別の配送先を登録している場合、届け先の氏名・住所・電話番号も閲覧対象となった可能性があります。贈答先などが登録されていた購入者は、必要に応じて受取人にも、実際の商品名や配達日時を示されても電話・SMSの相手を信用しないよう伝えてください。実際にどの受取人のデータが閲覧されたかは今後の調査結果によります。

カード下4桁・有効期限だけで決済はできるのか

公式発表で対象として示されたクレジットカード情報は、ブランド、カード番号の下4桁、有効期限です。カード名義、番号の残りの桁、セキュリティコードは含まれません。この情報だけで一般的なクレジットカード決済を行えると判断することはできず、全桁が流出したという表現も正確ではありません。

チケプラ事例のカード下4桁・有効期限に関する解説でも、カード番号全体の漏えいと、下4桁・有効期限のみの露出は分けて整理しています。一方、氏名、連絡先や注文情報と組み合わされると、実際のカード契約を知っているように見せる詐欺に悪用される可能性があります。

たとえば、「末尾がXXXXのカードで支払いが保留になった」「有効期限の更新が必要」と称して、偽の決済画面へ誘導したり、電話で残りの番号やセキュリティコード、ワンタイムパスワードを聞き出したりする手口が想定されます。末尾番号が合っていることは、連絡相手が正規の事業者である証拠にはなりません。

利用者はカード会社の公式アプリや利用明細を確認し、不審な請求があれば発行会社の正規窓口に相談します。今回の発表だけを理由に、全利用者のカードを一律に再発行すべきだと断定することはできません。

情報を悪用した詐欺の危険性と見分け方

下表は、漏えい対象となり得る情報と、セキュリティ対策Labで確認したアバハウスの注文情報を使った詐欺事例や漏えい通知への便乗詐欺の解説を踏まえた想定リスクです。今回のグッドスマイルカンパニーの事件で、表の詐欺が実際に発生したという意味ではありません。

漏えいの通知が届いた際、実際の注文情報や住所を相手が知っていても、そのメールが本物と判断しないでください。

公式ショップ利用者・配送先の方が取るべき対策

「個人情報が漏洩したらどうする？」では、メールアドレス、住所、電話番号、決済関連情報など、流出した項目ごとに対応を分けています。今回はカード番号全桁やパスワードの漏えいが公表されていないため、以下の優先順位で確認します。

1. 公式告知を直接確認する。 グッドスマイルカンパニーのカスタマーサポートをブックマークや検索結果などから開き、対象者への通知やショップ再開の案内を確認します。通知メールに書かれたURLだけを頼りに手続きしないでください。
2. 注文情報を使った偽メール・SMSを警戒する。 「発送予定」「予約商品の支払い」「返金」「配送先確認」の連絡に実際の商品名や金額が記載されていても、正規の窓口で照合します。別件のアバハウスでは、正確な注文内容を含む返金詐欺メールが報告されています。
3. カード明細を確認する。 カード番号全桁の流出が公表されたわけではありませんが、不審な請求や支払いに関するSMSが届いた場合は、カード発行会社の公式アプリ・窓口で確認します。全員に一律の再発行を求めるのではなく、実際の不正利用やカード会社の指示に応じて判断します。
4. パスワードとメールアカウントを点検する。 パスワード漏えいは今回の公式発表で明示されていません。とはいえ、同じパスワードを複数サービスで使い回している場合は解消し、メールアカウントの多要素認証や不審なログイン通知も確認します。偽サイトにパスワードを入力した場合は、当該サービスと使い回し先を速やかに変更してください。
5. 配送先に登録した第三者へ注意を共有する。 贈答先などが登録されている場合は、必要に応じてその相手にも、配送確認や不在通知を装う電話・SMSに注意するよう伝えます。該当者が実際に閲覧対象となったかは公式調査の続報を確認します。
6. 不審なリンク先ですでに情報を入力した場合は個別に対応する。 カード番号を入力した場合は発行会社、パスワードを入力した場合は対象サービスと使い回し先、金銭を振り込んだ場合は利用した金融機関へ速やかに相談してください。

個人情報漏えい後の偽の「おわび・補償」通知では、被害の公表に便乗して追加の個人情報や口座情報をだまし取る手口を整理しています。企業からの正式な対象者通知が行われる時期には、とりわけ注意が必要です。

EC運営企業が確認したい、管理機能・注文情報・顧客への通知

セキュリティ対策Labが扱ったアバハウスの不正アクセスでは、注文内容と一致する不審メールを顧客が報告したことが事件把握のきっかけになりました。EC運営企業はシステムログの調査だけでなく、顧客サポートへ寄せられる「実際の注文内容を知る不審な連絡」をインシデントの兆候として扱えるようにします。

今回のグッドスマイルカンパニーの事案で脆弱性が原因と認識されていることを踏まえると、EC運営企業が確認したいのは、管理機能で閲覧できる会員・注文・配送・決済関連情報の範囲、脆弱性対策の適用状況、管理者権限の最小化、通常と異なるログイン・大量閲覧・エクスポート操作の監視、操作ログの保全です。具体的なCVE、認証の不備、データの外部持ち出しなどを今回の原因・被害として断定するものではありません。

加えて、会員本人以外の配送先情報や委託先に残る注文データも確認対象となります。顧客への通知では、確認済みの閲覧範囲と調査中の事項、影響する情報項目、公式の問い合わせ窓口、偽の返金・補償メールへの注意を明確に分け、通知を模倣したフィッシングとの混同を防ぎます。

本件についての問い合わせは、公式ショップとは異なるシステムで運用するグッドスマイルカンパニーのカスタマーサポートで受け付けています。

出典

• 不正アクセスによるお客様情報流出の可能性について（2026年10月23日）― グッドスマイルカンパニー
• 個人情報が漏洩したらどうする？ 情報項目別のリスクと対策 ― セキュリティ対策Lab
• アバハウス不正アクセス、実際の注文内容と一致する「返金」詐欺メールも確認 ― セキュリティ対策Lab
• チケプラの個人情報表示事案、カード下4桁のリスクを整理 ― セキュリティ対策Lab
• 情報漏えい後の「おわび・補償」を装うフィッシング詐欺 ― セキュリティ対策Lab