10月19日から22日に不正アクセス
グッドスマイルカンパニーは、運営する公式ショップに第三者が不正アクセスし、会員の個人情報などを閲覧したと発表しました。システムログの解析により、2026年10月19日15時過ぎから22日22時ごろまでの間に、複数回のアクセスがあったと判明しています。
同社は原因を調査中で、現時点ではシステムの脆弱性を通じてアクセスされたと認識しています。
不正アクセスの判明後、同社は公式ショップを閉鎖して原因を調べ、判明した脆弱性の改修など、システムセキュリティの強化を行いました。
閲覧された可能性がある情報
対象となる可能性がある基本情報は、氏名、読み仮名、性別、住所、電話番号、メールアドレスです。注文情報には、注文日、商品名、数量、金額、決済方法、決済状況が含まれます。
届け先を別途登録していた場合は、その住所、氏名、電話番号も対象に含まれます。注文履歴と合わせて、商品や購入時期などが分かる情報です。
カード関連では、カードのブランド、番号の下4桁、有効期限が閲覧された可能性があります。カード名義、下4桁を除く番号、セキュリティコードは対象に含まれないと同社は説明しています。
カード情報の範囲と不審な連絡
カード番号の下4桁は、利用明細やレシートなどでカードを識別するために表示される番号です。IDAREの別件の情報漏えいでは、先頭6桁と下4桁だけでは決済できず、番号の残り、有効期限、セキュリティコードが必要とされています。
今回のグッドスマイルカンパニーの事案では、有効期限も閲覧された可能性があり、IDAREの事例とは対象情報の範囲が異なります。
同社は、漏えいした情報を悪用し、同社や公的機関、金融機関を名乗るメール、電話、SMSによる詐欺やなりすましが行われる可能性を挙げています。心当たりのない連絡には応じず、記載されたリンクを開かないよう呼びかけています。
調査と利用者への連絡
同社は本件を個人情報保護委員会へ報告し、調査と対応を続けています。対象となる可能性がある会員には、確認が済み次第、個別にメールで連絡する予定です。
消費者庁は、事業者や公的機関を名乗るメールやSMSでカード番号などを求められても入力しないよう注意を促しています。日頃からカードの利用明細を確認し、身に覚えのない請求があればカード会社へすぐ連絡するよう案内しています。
問い合わせはグッドスマイルカンパニーのカスタマーサポートが受け付けています。問い合わせフォームは、閉鎖中の公式ショップとは別のシステムで運用されています。
