グッドスマイルカンパニー、注文情報の漏洩対象を7673人→5356人に変更　クレカ情報流出の2800人は変更なし

フィギュアメーカー大手・グッドスマイルカンパニーが10月30日（金）、公式オンラインショップへの不正アクセスについて第4報を発表した（外部リンク）。

10月29日に発表した第3報のうち、注文情報が一部漏洩した可能性のあるユーザーについて説明を訂正した。

第3報時点では、10月22日22時20分前から23時前までに注文した7673人が対象としていた。しかし今回の訂正では、注文した時期にかかわらず、10月22日23時前までに注文し、当時まだ出荷処理が完了していなかった注文を持つ5356人が対象となる。

この5356人による7774件の注文のうち、不正に閲覧されたのは202件。どの注文が閲覧されたか特定できないため、グッドスマイルカンパニーは5356人全員にメールで通知している。

「約40分間の注文」から「未出荷の注文全体」へ訂正

グッドスマイルカンパニーは第3報で、注文情報が漏洩した可能性があるユーザーについて「2026年10月22日22時20分前ころから同日23時前ころまでの間にご注文いただいたお客様7,673名」と説明していた。

第4報ではこの記述を訂正。正しくは、特定の注文期間ではなく、10月22日23時前までに「グッドスマイルカンパニー公式ショップ」で注文し、その時点で出荷処理が完了していなかった注文を持つユーザーが対象となる。

該当する注文件数は7774件、ユーザー数は5356人となる。不正に閲覧されたことが確認されているのは、このうち202件である。

ただしシステムの仕様上、7774件のうちどの202件が閲覧されたのか特定することはできなかったという。

そのため、実際に注文情報が漏洩した可能性のあるユーザーは5356人全員ではなく、その一部となる最大202人。1人で複数の注文を行っている場合があるため、同社は「202名以下」と説明している。

漏洩した可能性がある注文情報には、氏名、住所、電話番号、メールアドレス、注文内容、金額、決済方法などが含まれる。

セキュリティコードを含むクレカ情報流出可能性のある2800人については変更なし

今回の訂正は注文情報の漏洩に関するもので、10月29日の第3報で発表されたクレジットカード情報の漏洩については変更されていない。

グッドスマイルカンパニー公式ショップでは、10月21日13時55分から23日7時まで、クレジットカード決済ページに不正なプログラムが設置されていた。

この期間にカード情報を入力した可能性がある2800人について、カード名義人名、カード番号全16桁、有効期限、セキュリティコードが漏洩した可能性がある。

グッドスマイルカンパニー、クレカ番号全16桁が情報漏洩か　該当者は2800人のユーザー

フィギュアメーカー大手・グッドスマイルカンパニーが10月29日（木）、公式オンラインショップへの不正アクセスについて第3報を発表した。調査の結果、クレジットカード決済ページに不正なプログラムが設置されていたことが判明。2026年10月21日13時55分から23日7時まで...

kai-you.net

また、過去に公式ショップへクレジットカード情報を登録したことがあるユーザーについても、カード番号下4桁と有効期限が漏洩した可能性がある。対象となる人数は現在も確認中で、該当する可能性のあるカードは重複を除いて40万2466枚となっている。

グッドスマイルカンパニーは、不正アクセスについて、公式ショップで使用していたシステムの一部に存在した脆弱性を悪用され、管理者権限を不正に取得されたものと説明している。

原因とみられるシステムの脆弱性は改修済み。世界的に対応が必要となったPHPの脆弱性とは異なる問題だったとしている。