グッドスマイルカンパニー ― 公式ショップに不正アクセス、サイト閉鎖

要点

発表された事実

グッドスマイルカンパニーは2026年10月23日、運営するECサイト「グッドスマイルカンパニー公式ショップ」で第三者による不正アクセスが発生し、会員の個人情報等が不正に閲覧されたことが確認されたと発表した（グッドスマイルカンパニーカスタマーサポート）。
システムログの解析で、2026年10月19日15時過ぎ頃から10月22日22時頃にかけて、サイトの管理情報に複数回の不正アクセスによる閲覧があったことが判明した。詳細は確認中（同）。
閲覧された可能性があるのは、基本情報（氏名、読み仮名、性別、住所、電話番号、メールアドレス）、注文情報（注文日、商品名、数量、金額、別途登録したお届け先の住所・氏名・電話番号、決済方法、決済状況）、クレジットカード情報（ブランド、番号下4桁、有効期限）。カード名義、カード番号の全桁、セキュリティコードは含まれない（同）。
原因は調査中だが、現時点では「脆弱性による不正アクセス」と認識している。原因と思われる脆弱性を改修し、システムのセキュリティを強化した。判明後ただちにサイトを閉鎖し、再開の見込みは示していない。10月23日に個人情報保護委員会へ報告した（同）。
対象となる可能性のある会員には、確認が済み次第、順次個別のメールで知らせる予定。問い合わせフォームはショップとは別のシステムで運用している（同）。
【2026-10-27追記】グッドスマイルカンパニーは10月26日13時45分、同じお知らせに追記した。不正アクセスは、10月23日午前6時過ぎごろ、サイトのシステム開発・保守の委託先からの連絡で認識した（グッドスマイルカンパニー 10月26日追記）。
【2026-10-27追記】原因について「PHP脆弱性によるものではございません」とし、PHPの脆弱性への対応は10月21日から22日のメンテナンスで済ませていたと説明した。Amazon Pay、PayPalなどの外部決済サービス経由の注文は各決済事業者の認証システムで処理しており、同社サーバーにカード情報はない。「ねんどろいどフェイスメーカー」と「GOOD SMILE STORE 楽天市場店」は別システムのため影響はない（同）。
【2026-10-27追記】本件で退会した元会員を含む全会員に、お知らせと同じ内容を個別メールで送ることにした。サイトは閉鎖中だが、受付済みの10月発送予定の注文と予約商品は順次出荷している。予約注文の決済エラー（クレジットカード・PayPal）の自動案内を受け取り、閉鎖で再決済できない人は問い合わせフォームに連絡するよう求め、注文が自動でキャンセルされることはないとした。閉鎖中の退会もフォームで受け付ける。作業完了の見込みはまだ案内できないとしている（同）。
【2026-10-30追記】グッドスマイルカンパニーは10月29日に第3報を出した。10月21日13時55分から10月23日7時（サイト閉鎖）まで、カード決済ページに不正なプログラムが設置されていたことが10月28日18時30分過ぎに判明した。この間に決済ページでカード情報を入力した可能性のある最大2,800名について、カード名義人名、カード番号（全16桁）、有効期限、セキュリティコードが漏えいした可能性がある。第2報までの「全桁とセキュリティコードは含まれない」という説明が改められた（Impress Watch、IT Post）。
【2026-10-30追記】2,800名の内訳は、カード決済で注文した384名、決済を試みて完了しなかった人、カートに商品を入れたが決済に進まなかった人、予約後にカード情報を変更した185名など。操作の記録がなく切り分けられないため、全員に10月29日早朝にメールで個別連絡した。注文後にカード情報の変更を試みて完了しなかった人も漏えいの可能性があるが、特定できていない（同）。
【2026-10-30追記】このほか、カードを登録したことがある利用者のカード番号下4桁と有効期限が、重複を除き最大402,466枚分（人数は確認中）、10月22日22時20分前ごろから23時前ごろに注文した最大7,673名の注文情報（氏名、住所、電話番号、メールアドレス、注文内容、金額、決済方法）が漏えいした可能性がある。実際に不正に閲覧された注文は202件（同）。（【2026-10-31追記】注文情報の対象は10月30日の第4報で修正された。下の追記を参照）
【2026-10-30追記】原因は、サイトのシステムの一部にあった脆弱性を悪用されて管理者権限を取られたものと認識しているとした。別に保存していたソースコードをもとに脆弱性を改修し、システム間の接続情報を一式無効化して更新した。個人情報保護委員会には報告済みで、カード会社と決済代行会社への報告を今後進める。サイトの再開時期は未定（同）。
【2026-10-31追記】グッドスマイルカンパニーは10月30日12時4分、第3報の一部を修正する第4報を出した。注文情報の対象は「10月22日22時20分前ごろから23時前ごろに注文した7,673名」ではなく、「10月22日23時前ごろまでに注文し、出荷処理が済んでいない注文を持つ5,356名（注文7,774件）のうちの一部（202名以下）」に改めた。システムの仕様上、7,774件のうちいずれか202件が閲覧された可能性があるところまでは特定できたが、どの202件かは特定できず、5,356名全員にメールで個別連絡した。新たに対象と分かった人には10月30日早朝にメールした（グッドスマイルカンパニー第4報）。
【2026-10-31追記】第4報では、不正アクセスの終わりを「10月22日23時前ころ」、サイト閉鎖を10月23日午前7時と明記した。カード下4桁と有効期限の類型では、カード名義とセキュリティコードの漏えいは確認されず、ひも付く会員情報の漏えいもないとした。対象人数は確認中のまま（402,466枚）。原因の脆弱性は「近時報告されたPHP脆弱性」ではないと改めて説明し、一般的な質問へのQ&Aも公開した。カード会社と決済代行会社への報告はこれから進める（同）。

わかったこと

【2026-10-30】対象件数：カード情報全体が最大2,800名、カード下4桁と有効期限が最大402,466枚、注文情報が最大7,673名（第3報、Impress Watch・IT Post。注文情報の対象は第4報で修正）
【2026-10-30】「管理情報」の閲覧にとどまらず、決済ページへの不正プログラム設置（カード情報の盗み取り）があった（同）
【2026-10-30】原因は脆弱性の悪用による管理者権限の不正取得と同社は認識（同）
【2026-10-31】注文情報の対象は、出荷処理未了の注文を持つ5,356名（7,774件）のうち最大202名・202件に修正された（第4報）

わかっていないこと

対象となる会員・注文の件数（【2026-10-30追記】第3報で件数が出た。上の「わかったこと」を参照。カード下4桁の対象人数は確認中）
悪用された脆弱性の種類（自社開発か、ECパッケージ・プラグインか）と、10月21日公表のPHPの脆弱性との関係（【2026-10-27追記】同社は10月26日、原因はPHPの脆弱性ではないと説明した。どの脆弱性かは明かしていない）
「管理情報」とは何か（管理画面・管理者用API・データベースのどれか）と、閲覧にとどまらず取得（持ち出し）されたかどうか
10月22日22時頃に不正アクセスが止まった理由（検知・遮断か、攻撃側の終了か）
海外向けショップなど、ほかの販売サイトへの影響（【2026-10-27追記】ねんどろいどフェイスメーカーと楽天市場店は別システムで影響なしとした。海外向けショップには触れていない）
サイトの再開時期（【2026-10-27追記】10月26日の追記でも、作業完了の見込みは案内できないとしている）
【2026-10-27追記】委託先がどのようにして不正アクセスに気づいたか
【2026-10-30追記】決済ページの不正プログラムが10月28日まで見つからなかった理由と、改ざんされたのがどのファイル・仕組みか
【2026-10-30追記】盗まれたカード情報の不正利用が実際に起きているか

関係しそうな既知の手口

（考察）ECサイトの管理機能を脆弱性経由で開かれ、会員情報と注文情報を閲覧される形は、10月に国内で相次ぐEC・会員サイトの事例と同じ型に見える。カードの下4桁と有効期限は単体では決済に使えないが、氏名・住所・注文履歴と組み合わせると「ご注文のカードの確認」を装うフィッシングの材料になる。

概要

フィギュアなどのホビー商品を扱うグッドスマイルカンパニーの公式ECサイトで、約3日半にわたって管理情報が不正に閲覧された。
会員の連絡先と注文履歴に加え、カードのブランド・下4桁・有効期限が閲覧された可能性がある。
原因は脆弱性とみられ、サイトは閉鎖中。件数はまだ出ていない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-19（月）15時過ぎ頃	公式ショップの管理情報への不正アクセスによる閲覧が始まる（グッドスマイルカンパニー）
2026-10-22（木）22時頃	閲覧が確認された最後の時刻（同）
判明後ただちに	サイトを閉鎖し、原因確認を開始。原因と思われる脆弱性を改修（同）
2026-10-23（金）6時過ぎ頃	【2026-10-26追記で判明】システム開発・保守の委託先からの連絡で、同社が不正アクセスを認識（グッドスマイルカンパニー）
2026-10-23（金）	公表、個人情報保護委員会に報告（同）
2026-10-21（水）13:55	【2026-10-29第3報で判明】カード決済ページに不正なプログラムが設置される。10月23日7時のサイト閉鎖まで続く（Impress Watch）
2026-10-26（月）13:45	お知らせに追記。原因はPHPの脆弱性ではないと説明。全会員（退会した元会員を含む）への個別メール、10月発送分の出荷継続、決済エラーと退会の受付方法を案内（同）
2026-10-28（水）18:30過ぎ	決済ページへの不正プログラムの設置が判明（第3報、Impress Watch）
2026-10-29（木）早朝	カード情報全体の漏えいの可能性がある最大2,800名に個別メールで連絡（同）
2026-10-30（金）12:04	第4報（第3報の一部修正）。注文情報の対象を、出荷処理未了の注文を持つ5,356名（7,774件）のうち最大202名・202件に修正し、5,356名全員にメールで連絡。Q&Aを公開（グッドスマイルカンパニー）
2026-10-29（木）	第3報。カード情報全体（最大2,800名）、カード下4桁と有効期限（最大402,466枚）、注文情報（最大7,673名）の漏えいの可能性を公表。原因は管理者権限の不正取得と説明（同、IT Post）

発表内容の整理

事実（グッドスマイルカンパニーの発表）

項目	内容
対象サイト	ECサイト「グッドスマイルカンパニー公式ショップ」
期間	2026年10月19日15時過ぎ頃〜10月22日22時頃（複数回）
基本情報	氏名、読み仮名、性別、住所、電話番号、メールアドレス
注文情報	注文日、商品名、数量、金額、お届け先の住所・氏名・電話番号（別途登録した場合）、決済方法、決済状況
カード情報	ブランド、番号下4桁、有効期限（名義・全桁・セキュリティコードは含まない）
原因	脆弱性による不正アクセス（調査中）
対応	サイト閉鎖、脆弱性の改修、セキュリティ強化、個人情報保護委員会への報告、対象会員への個別メール（予定）

ゲーム・ホビー系メディアも同じ内容を伝えている（Game*Spark、電撃オンライン）。

考察

カード番号の全桁やセキュリティコードがないのは、ショップがカード情報を自社で保持しない（決済代行に任せる）作りになっているためと考えられ、決済への直接の被害は避けられた形だ。一方で、下4桁と有効期限、注文した商品名がそろうと、本物の店舗からの連絡にしか見えないメールやSMSを作れる。限定品の予約・抽選など、ファンが反応しやすい文面が使われるおそれがある（考察）。

発表は「閲覧されたことが確認された」と書く一方、表題と項目では「可能性」としている。どの会員の情報がどの範囲で見られたかを、ログから絞り込んでいる途中と読める。件数と個別通知の対象がそろう続報が重要になる（考察）。

【2026-10-30追記】第3報で、決済ページに不正なプログラムが置かれ、入力されたカード情報が全桁とセキュリティコードまで盗まれた可能性が明らかになった。上で書いた「決済への直接の被害は避けられた」という見立ては当たらなかった。カード情報を保持しない作りでも、管理者権限を取られて決済ページそのものを書き換えられれば、入力の時点で抜き取られる。管理者権限の奪取から決済ページの改ざんまで（19日の侵入開始から21日13時55分の設置まで）約2日あり、閲覧の段階で検知できていれば防げた可能性がある（考察）。

関係しそうな既知の手口

事実（既知の知見）

JPCERT/CCは2026年10月8日（10月23日にも更新）、国内組織で相次ぐ不正アクセスについて注意喚起を出し、公開アプリの解析によるAPIの特定、内部APIの不正な呼び出しなどの手口を挙げて対策を求めている（JPCERT/CC）。
10月21日にはPHPの重大な脆弱性2件（CVE-2026-109618／109619）が公表され、国内の複数の事業者が予防的にサービスを止めた（PHP2Shellの記事）。

考察

不正アクセスの始まり（10月19日）はPHPの脆弱性の公表（10月21日）より前で、時期だけからは関係は読み取れない。グッドスマイルカンパニーは脆弱性の種類を明かしていない（考察）。

【2026-10-27追記】同社は10月26日、原因はPHPの脆弱性ではなく、PHPへの対応は10月21日から22日のメンテナンスで済ませたと説明した。PHP対応のメンテナンス期間と不正閲覧の期間（19日〜22日）は重なっており、メンテナンス後も22日22時ごろまで閲覧が続いていたことになる（考察）。

利用者・運用者がいまできること

公式ショップの会員は、グッドスマイルカンパニーやカード会社、配送業者を名乗るメール・SMS・電話のリンクを開かない。カード番号やセキュリティコードを入力させる連絡には応じない。
カードの利用明細に覚えのない請求がないかを確かめる。
問い合わせは、ショップとは別システムのカスタマーサポートのフォームから行う。
【2026-10-27追記】予約注文の決済エラーの案内を受け取り再決済できない場合や、閉鎖中に退会したい場合も、同じフォームから連絡する。注文が自動でキャンセルされることはないと同社は説明している（グッドスマイルカンパニー）。
【2026-10-30追記】10月21日13時55分から23日7時までに公式ショップでカード情報を入力した覚えがある人は、個別連絡の有無にかかわらず、カード会社の公式アプリや明細で利用履歴を確かめ、不審な請求があればカード裏面の番号に連絡する。
ECサイトの運営者は、管理画面や管理者用APIが外部から届く状態になっていないか、管理機能へのアクセスの異常を検知できるかを点検する。

参考リンク

原文をGitHubで読む ↗