最終更新：10 月 29 日 14:24（日本時間）
10 月 29 日の第 3 報の内容を反映しました。続報が出たら追記します。
すぐ見る：よくある疑問 ／ 漏れた可能性がある人と情報 ／ 会員がやること ／ 技術的な詳細 ／ ネットショップを運営する会社 ／ 経緯
ひとことで言うと
フィギュアなどの公式ショップに入り込まれ、カードの支払いページに不正なプログラムを置かれた。カード番号の全部とセキュリティコードが漏れた可能性がある人がいる（10 月 29 日の第 3 報）
- 10 月 21 日 13 時 55 分〜23 日 7 時に、支払いページでカード情報を入れた可能性がある 2,800 名は、カードの名義・番号（全 16 桁）・有効期限・セキュリティコードが漏れた可能性がある
- カードを登録したことがある人は、番号の下 4 桁と有効期限が漏れた可能性がある（重複を除き 402,466 枚）。10 月 22 日の夜に注文した 7,673 名は、名前・住所・注文内容などが漏れた可能性がある
- カード情報の漏えいの個別メールが届いた人は、カードの利用明細を確かめ、覚えのない請求はカード会社へ。同社や金融機関などを名乗るあやしい連絡には応じない
どうすればいい？
よくある疑問と答え
-
自分は対象？
同社は、カード情報が漏れた可能性がある人に、個別のメールで連絡したとしています。対象は、支払いページを使った時間・カードの登録・注文した時間で分かれます。
→ 対象の区分の一覧 -
クレジットカードは大丈夫？
支払いページでカード情報を入れた可能性がある人は、番号の全 16 桁とセキュリティコードまで漏れた可能性があります。メールが届いた人は利用明細を確かめ、覚えのない請求はカードの裏面にあるカード会社に連絡します。
→ 会員がやること -
カードを登録していただけなら？
登録したことがあるカードは、番号の下 4 桁と有効期限が漏れた可能性があります。名義とセキュリティコード、そのカードにひも付く会員の情報が漏れたことは確認されていないとしています。
→ 区分ごとの漏れた情報 -
名前や住所、パスワードは漏れた？
第 1 報では会員の名前・住所などの「基本情報」も見られた可能性があるとしていました。第 3 報は区分を改めていて、この項目の扱いは書かれていません。ログインのパスワードは、どのお知らせにも書かれていません。
→ 第 1 報との違い -
Amazon Pay・PayPal や楽天市場店で買った人は？
Amazon Pay・PayPal などの外部の決済は、同社のサーバーにカード情報を持っていないとしています。楽天市場店と「ねんどろいどフェイスメーカー」は別のシステムで、影響はないとしています（どちらも 10 月 26 日の追記）。
→ 止まっているもの・動いているもの -
どんな弱点を突かれた？
システムの一部の弱点（脆弱性）を悪用され、管理者の権限を不正に取られたとしています。最近話題になった PHP の脆弱性ではないとしています。
→ 技術的な詳細 - 公式ショップはいつ使える？ 閉じたままで、安全が確認でき次第あらためて案内するとしています。すでに受けた 10 月発送の予定の注文と予約商品は、順に発送しています。
-
ネットショップを運営している会社は？
カード番号を入れるページのファイルが書き換えられたら気づける仕組みと、管理者の権限の守りを見直します。
→ 点検表
詳しくは：会員がやること ／ ネットショップを運営する会社が見直すこと
この記事では、グッドスマイルカンパニーの情報漏洩（公式ショップへの不正アクセスで、カード情報や注文の情報が漏れた可能性があること）について、同社が 2026 年 10 月 23 日（第 1 報）・26 日（追記）・29 日（第 3 報）に出したお知らせだけをもとに、何が起きたのかと、会員・ネットショップを運営する会社がやることを整理します。
何が起きたか
10 月 29 日の第 3 報で分かったことです。グッドスマイルカンパニーによると、10 月 23 日午前 6 時過ぎころ、ショップのシステムの開発・保守を任せていた会社（委託先）からの連絡で、不正アクセスが分かりました。不正アクセスは 19 日 15 時過ぎころから 22 日 23 時前ころまでで、23 日午前 7 時にショップを閉じました。
この間に、ショップに記録されたお客さまの情報が何度も見られました。さらに、10 月 21 日 13 時 55 分から 23 日 7 時まで、カードの支払いページ（決済ページ）に不正なプログラムが置かれていました。このことは、10 月 28 日 18 時 30 分過ぎころに分かったとしています。
| 対象の人 | 漏れた可能性がある情報 |
|---|---|
| 10 月 21 日 13 時 55 分〜23 日 7 時に、決済ページでカード情報を入れた可能性がある人（2,800 名） | カードの名義・カード番号（全 16 桁）・有効期限・セキュリティコード |
| ショップにカード情報を登録したことがある人（人数は確認中・カードは重複を除き 402,466 枚） | カード番号の下 4 桁・有効期限。カードの名義とセキュリティコードが漏れたことは確認されていない。そのカードにひも付く会員の登録情報も漏れていないとしている |
| 10 月 22 日 22 時 20 分前ころ〜23 時前ころに注文した人（7,673 名） | お届け先や請求先の名前・住所・電話番号、メールアドレス、注文内容、金額、支払いの方法 |
注文の情報について補足です。実際に見られた注文は 202 件でした。ただ、見られた注文を完全には特定できないため、見られた可能性がある 7,673 件の注文のお客さま全員を対象にしたとしています。
カード情報を入れた可能性がある 2,800 名の内わけ
2,800 名に入っているのは、上の期間に決済ページで次のどれかをした人です。
- ① カードで支払って注文した人 384 名
- ② カードで払おうとしたが、支払いが終わらなかった人 ③と見分けられないため、人数は分けて示されていない
- ③ ログインしてカートに商品を入れたが、支払いの手続きに進まなかった人 カード情報は漏れていないと考えられるとしたうえで、連絡の対象に入れている
- ④ 予約のあと、支払いに使うカードの情報を変える手続きをした人 185 名
ショップのシステムが操作の記録を残していないため、②と③のどちらに当たるかは特定できないとしています。そのため、①〜④のどれかに当たる可能性があるすべての人に、個別に連絡したとしています。
このほか、注文のあとでカードの情報を変えようとして、手続きが終わらなかった人も、カード情報が漏れた可能性があります。これも記録が無いため、同社はこの人たちを特定できないとしています。心当たりがある人は、下の「会員がやること」を見てください。
第 1 報から変わったところ
10 月 23 日の第 1 報では、見られた可能性がある情報を 3 つに分けていました。「基本情報」（氏名・読み仮名・性別・住所・電話番号・メールアドレス）、「注文情報」（注文日・商品名・数量・金額・お届け先・支払いの方法など）、「クレジットカード情報」（カードのブランド・番号の下 4 桁・有効期限）です。
第 3 報は、「第2報までにお知らせいたしました内容から、一部の情報に変更が生じております」としていて、上の表の区分に改められています。第 1 報にあった「基本情報」の項目をどう扱うかは、第 3 報に書かれていません。不正アクセスの終わりの時刻も、第 1 報の「22 日 22 時ころ」から、第 3 報では「22 日 23 時前ころ」になっています。
会員がやること
会員がやることを、お知らせの案内に沿って並べます。グッドスマイルカンパニーによると、漏れた情報を悪用して、同社や公的機関、金融機関などを名乗るあやしいメール・電話・SMS で、詐欺やなりすましが行われるおそれがあります。
- カード情報の漏えいについて個別のメールを受け取った人は、カードの利用明細に覚えのない請求がないかを確かめる。あれば、すぐにカードの裏面に書かれたカード会社に連絡する
- 注文のあとでカードの情報を変えようとして終わらなかった、という心当たりがある人も、お知らせの注意事項を確かめる（同社はこの人たちを特定できないとしている）
- 心当たりのない相手からのメール・電話・SMS には応じない。リンクなどが書かれていても開かない
- 問い合わせは、グッドスマイルカンパニーのカスタマーサポートのお問い合わせフォームへ。フォームはショップとは別のシステムで動いている
10 月 26 日の追記では、退会した元会員を含むすべての会員に、お知らせと同じ内容を個別のメールで送るとしていました。第 3 報では、新たに漏えいの対象と分かった人に、10 月 29 日の早朝にメールで連絡したとしています。
次の 2 つは、発表には書かれていない、この記事での整理です。カード番号の全桁とセキュリティコードが漏れた可能性があるとメールが届いた人は、利用明細を見るだけでなく、カードを作り直す（再発行する）かどうかをカード会社に相談しておくと安心です。また、買った商品の名前や住所、カード番号の下 4 桁を示して本物らしく見せる連絡にも、上と同じように応じないでください。
止まっているサービス
公式ショップは、10 月 23 日午前 7 時に閉じたままです。再開の時期は、安全が確認でき次第あらためて案内するとしています。ショップが閉じている間の扱いは次のとおりです（10 月 26 日の追記と第 3 報）。
- 商品の発送 すでに受けた 10 月発送の予定の注文と予約商品は、順に出荷・発送している。
- 予約注文の決済エラー（カード・PayPal） 決済エラーの自動の案内が届いたのに、ショップが閉じていて払い直せない人は、お問い合わせフォームへ。注文が自動でキャンセルになることはないとしている。
- 退会 いつもどおり受け付けている。お問い合わせフォームから、個別に手続きする。
- 影響がないとしているもの 楽天市場店（GOOD SMILE STORE 楽天市場店）と「ねんどろいどフェイスメーカー」は、別のシステムで動いていて、今回の不正アクセスの影響はないとしている。
- 外部の決済での注文 Amazon Pay・PayPal などの外部の決済サービスでの注文は、各決済会社の認証の仕組みで処理していて、同社のサーバーにカード情報は持っていないとしている。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 29 日 | 第 3 報を公表。漏れた可能性がある人と情報の区分を改め、決済ページでカード情報を入れた可能性がある 2,800 名などを示した。新たに対象と分かった人へ、この日の早朝にメールで連絡 |
| 10 月 28 日 | 18 時 30 分過ぎころ、決済ページに不正なプログラムが置かれていたことが分かった |
| 10 月 26 日 | 第 1 報に追記（第 2 報）。分かったきっかけが委託先からの連絡だったこと、外部の決済・楽天市場店などの扱い、原因が PHP の脆弱性ではないこと、全会員への個別メール、発送などを案内 |
| 10 月 23 日 | 午前 6 時過ぎころ、委託先からの連絡で不正アクセスが分かった。午前 7 時にショップを閉じた。お知らせ「不正アクセスによるお客様情報流出の可能性について」（第 1 報）を公表（日本語・英語・中国語）。個人情報保護委員会に報告 |
| 10 月 22 日 | 22 時 20 分前ころから 23 時前ころまでの注文の情報が、見られた可能性がある |
| 10 月 21 日〜23 日 | 21 日 13 時 55 分から 23 日 7 時まで、決済ページに不正なプログラムが置かれていた |
| 10 月 21 日〜22 日 | PHP の脆弱性への対応のメンテナンスを行った（10 月 26 日の追記） |
| 10 月 19 日〜22 日 | 19 日 15 時過ぎころから 22 日 23 時前ころにかけて、第三者による不正アクセス。お客さまの情報が何度も見られた（第 1 報では 22 日 22 時ころまでとしていた） |
技術的な詳細（システム担当者向け）
ここからは、ネットショップや会員サイトを運用している担当者・エンジニア向けです。第 1 報・10 月 26 日の追記・第 3 報から読み取れる技術的な点を、お知らせの言葉に沿って並べます。
| 観点 | お知らせの内容 |
|---|---|
| 検知 | 10 月 23 日午前 6 時過ぎころ、システム開発・保守の委託先からの連絡で判明。第 1 報では、システムログの解析で管理情報への複数回の閲覧が分かったとしていた |
| 期間 | 不正アクセスは 10 月 19 日 15 時過ぎころ〜22 日 23 時前ころ。サイトに記録されたお客様情報が複数回閲覧された |
| 決済ページの改ざん | 10 月 21 日 13 時 55 分〜23 日 7 時、クレジットカード決済ページに不正なプログラムが設置されていた（10 月 28 日 18 時 30 分過ぎころ判明）。この間に入力されたカード名義・番号（全 16 桁）・有効期限・セキュリティコードが漏えいした可能性 |
| 保存していたカード情報 | 登録カードの番号下 4 桁・有効期限（重複を除き 402,466 枚）。名義・セキュリティコードの漏えいは確認されていない |
| 原因 | システムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得されたと認識。近時報告された PHP の脆弱性ではない。PHP の脆弱性への対応は 10 月 21 日〜22 日のメンテナンスで実施済み |
| 操作の記録 | 決済ページでの操作（決済の試み・カートの操作・カード情報の変更の試み）の記録を保持していないため、対象者の一部を特定できない |
| 注文情報の範囲 | 不正に閲覧された注文は 202 件。閲覧された注文を完全に特定できないため、閲覧の可能性がある 7,673 件の注文のお客さますべてを対象とした |
| 是正 | 別途保存していた管理システムのソースコードに基づき、原因と思われる脆弱性を改修。システムを構成する各システム間の接続情報一式を無効化・更新し、その他のセキュリティ強化策を実施 |
| 報告 | 個人情報保護委員会へ報告済み。クレジットカード会社と決済代行会社への報告はこれから進める |
| 外部決済 | Amazon Pay・PayPal 等は各決済事業者の認証システム経由で処理され、自社サーバー内にカード情報を保持していない（10 月 26 日の追記） |
| 切り分け | 「ねんどろいどフェイスメーカー」と楽天市場店は別システムで影響なし。お問い合わせフォームも公式ショップとは異なるシステムで運用 |
| 発表に無いこと | 脆弱性の種類・CVE 番号・使っている EC の製品やプラグインの名前・不正なプログラムの中身と送り先・パスワードの扱い・カードを登録していた人の人数 |
この記事での整理です。今回は、保存していたカード情報（下 4 桁・有効期限）と、決済ページで入力されたカード情報（全 16 桁・セキュリティコード）とで、漏れた可能性がある範囲が大きく違います。カード番号の全部をサーバーに保存していなくても、入力するページが書き換えられると、入力された情報が漏れるおそれがあります。
また、決済ページでの操作の記録が無いため、対象を絞り込めない区分が出ています。管理画面や管理用の API へのアクセスに加えて、決済ページのファイルの変更と、お客さまの決済の操作も記録に残しておくと、気づくのを早め、対象を絞り込みやすくなります。ソースコードを別の場所に保存していたことは、改修の手がかりになっています。
次に読む：同じ時期に出た PHP の重大な脆弱性と対応の仕方 ／ ネットショップが狙われたテレビ壁掛けショップの件と点検表
ネットショップを運営する会社が見直すこと
今回は、管理者の権限を不正に取られ、決済ページに不正なプログラムを置かれたとされています。カード情報や注文の情報を扱うショップが、同じことに備えて点検する項目を表にしました（この記事での整理）。
| 点検すること | 確かめる中身 |
|---|---|
| 決済ページのファイルの改ざんに気づく仕組みがあるか | カード番号を入れるページと、そのページが読み込むスクリプトの中身を定期的に元の状態と比べ、書き換わったら担当者に通知が届くようにする。今回、不正なプログラムが置かれていたことは、ショップを閉じたあとの 10 月 28 日に分かった |
| カード情報を自社で扱わない決済にできるか | カード番号の入力を決済代行会社のページで受ける形にすると、自社のサイトが書き換えられても、漏れる範囲を狭められることがある。入力欄が自社のページの上にある形は、自社のページの改ざんの影響を受けることがあるので、決済代行会社の推奨設定を確かめる。同社も、外部の決済サービスでの注文は、サーバーにカード情報を持っていないとしている |
| 管理者の権限を守れているか | 管理画面に入れるアカウントを絞り、二段階認証や接続元の制限をかける。管理者の権限で行われた操作の記録を残し、見慣れない操作で通知が届くようにする |
| システム間の接続情報をすぐ変えられるか | データベースのパスワードや API キーなど、システムどうしをつなぐ情報の一覧と、まとめて無効にして作り直す手順を用意しておく。今回、同社は接続情報一式を無効化・更新している |
| 元のソースコードを別の場所に保存しているか | サーバーとは別の場所に保存したソースコードがあれば、書き換えられたファイルと比べて直せる。今回、同社は別に保存していたソースコードをもとに改修している |
| お客さまの決済の操作を記録しているか | 決済の試み・カートの操作・カード情報の変更の記録が無いと、漏えいの対象を絞り込めない。今回は記録が無いため、見分けられない区分が出ている |
| 更新の知らせを見る担当が決まっているか | ショップのシステム・追加の機能（プラグインなど）・PHP などの更新の知らせを、誰が見て、いつ当てるかを決めておく。今回の原因は PHP 以外の脆弱性だったとされていて、PHP の更新だけでは足りないこともある |
| 止めたときの案内と窓口を用意しているか | サイトを止めたときの案内、会員へのお知らせのひな形、発送・決済エラー・退会の扱い、ショップとは別に動く問い合わせ窓口を決めておく |
自社で見直すこと
ネットショップや会員サイトのように、お客さまの名前や住所、購入履歴、カードの支払いを扱うサイトは、中小企業にもあります。事故が起きると、サイトを止めている間の案内と、お客さまへの説明が自社に求められます（この記事での整理）。
- 自社のサイトで預かっている情報を書き出す 会員・注文・カード・フォームの送信内容など、どの情報をどこに保存しているか、どの画面で入力を受けているかを控えておく。要らなくなった情報は残さない。
- 更新と管理の担当を決める サイトの仕組みの更新と、管理画面のアカウントの見直しを、担当と時期を決めて続ける。
- 自社からの連絡の手段を公式サイトに書いておく どのアドレスから、どんな内容のメールを送るかを公式サイトに書いておくと、自社を装う連絡と見分けてもらいやすくなる。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、ショップの仕組みの更新や管理画面の見直し、事故のときのお知らせを、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
