グッドスマイルカンパニーのクレジットカード番号漏洩の内容と被害規模について

フィギュアやホビー用品の販売で知られる「グッドスマイルカンパニー公式ショップ」にて、大規模な不正アクセスによるクレジットカード情報および個人情報の漏えい懸念が発生しました。

同社の公表によると、最大2,800名のカード全16桁やセキュリティコード流出のほか、登録カード40万枚超への影響も確認されています。

本記事では、被害の全貌、不正アクセスの原因・経緯、そしてユーザーが取るべき自衛策を解説します。

クレジットカード情報流出の内容と規模（最大2,800名）

今回の不正アクセスにおいて、最も重大視されているのが決済ページに入力されたクレジットカード情報の漏えいです。

同社が公表した調査結果によると、不正なプログラムが設置されていた期間中に決済処理や情報変更を行ったユーザーの金融情報が流出した可能性が浮き彫りになりました。

流出した可能性のある情報項目

決済時に入力された以下の極めて重要な決済情報が流出対象として挙げられています。

• クレジットカード名義人名
• クレジットカード番号（全16桁）
• 有効期限
• セキュリティコード

カード番号の全桁に加え、セキュリティコードまで漏えいした可能性があるため、第三者による不正利用のリスクが非常に高い状態と言えます。

対象期間と対象者の内訳

不正プログラムが決済ページに設置されていた期間は、10月21日13時55分から10月23日7時までの約41時間です。

この期間中に決済ページを利用した合計2,800名が個別連絡の対象となっています。

利用状況	人数	詳細と背景
カード決済で注文完了	384名	期間中にカード決済を用いて正常に注文を完了したユーザー。
予約後のカード情報変更	185名	過去の予約注文に対し、カード情報の変更手続きを行ったユーザー。
決済未完了・カート投入等	2,231名	決済を試みて失敗した方、ログイン後にカートへ商品を入れただけの方など。
合計	2,800名	同社より個別の注意喚起メールが送信されている対象者数。

同社のシステムでは、カートに商品を入れただけのユーザーと実際に決済を試みたユーザーの操作記録を厳密に区別・特定できない状態となっていました。

そのため、カート投入のみで実際にはカード情報を入力していない安全と思われるユーザーも含め、該当期間に該当操作を行った可能性のある2,800名全員へ万全を期して個別連絡が行われています。

不正アクセスの原因と発生の経緯

今回のセキュリティインシデントは、外部からの不正アクセスによってシステム権限が奪取されたことが引き金となっています。

発覚からショップ閉鎖までの流れと、判明した攻撃手法の概要は以下の通りです。

発覚とショップ閉鎖までのタイムライン

	出来事と対応内容
10月19日 15:00頃	第三者による不正アクセスが開始されたと推測される初期タイミング。
10月21日 13:55	決済ページへカード情報を盗み取る不正プログラムが設置される。
10月22日 23:00前	不正アクセスの痕跡が残る最終時間帯。
10月23日 06:00過ぎ	システム開発・保守委託先事業者から不正アクセスの連絡を受け、事態を認知。
10月23日 07:00	被害拡大を防止するため、 「グッドスマイルカンパニー公式ショップ」を一時閉鎖。

侵入の原因と攻撃手法

調査により、同社サイトが運用していたシステムの一部に未対策の脆弱性が存在していたことが判明しました。

攻撃者はこの脆弱性を悪用して管理者権限を不正に取得し、サイトの決済処理を行うプログラムを改ざん。

ユーザーが入力したカード情報を外部へ送信する不正プログラムを設置しました。

なお、同社は今回の脆弱性について、近年多様なウェブサイトで被害が相次いでいる「PHPの脆弱性」とは異なる種類のものであると説明しています。

カード全桁以外への波及（登録カード40万枚・注文情報7,673件）

被害は決済ページに入力されたリアルタイムのカード情報にとどまらず、サイト内に保存されていた登録済みカード情報や、過去の注文情報にまで波及していることが確認されました。

登録済みカード情報の一部漏えい

過去に同ショップを利用し、カード情報をサイト上に登録していたユーザーのデータも影響を受けています。

	内容と影響範囲
対象データ数	重複を除き 40万2,466枚
漏えいした可能性のある項目	・カード番号の下4桁 ・カードの有効期限
漏えいしていない（無事だった）項目	・カード名義人名 ・セキュリティコード ・カードに紐づく会員個人情報

登録カードに関しては番号の全桁やセキュリティコードは保持・漏えいしておらず、下4桁と有効期限のみにとどまっているため、これ単体でカードが不正利用されるリスクは極めて低いと見られています。

注文情報（個人情報）の閲覧可能性

また、特定の時間帯においてデータベース上の注文情報が第三者から閲覧可能な状態になっていました。

• 対象期間・人数
  • 10月22日22時10分頃〜23時頃に注文を行った 7,673人分
• 漏えいした可能性のある情報
  • 氏名、住所、電話番号、メールアドレス、注文内容、購入金額、決済方法
• 被害の実態
  • 実際のアクセスログ解析により 202件 の注文情報が不正閲覧されたことが確認されています。
    ただし、技術的にどのユーザーのデータが閲覧されたかを個別に完全特定することが困難なため、同社は該当時間帯に注文した7,673人全員を対象として案内を行っています。

ユーザーへの影響と今後の対応

グッドスマイルカンパニーは一連の事態を受け、「お客様に多大なるご迷惑とご心配をお掛けしていることを深くお詫び申し上げます」と公式に謝罪し、再発防止に向けたセキュリティ体制の再構築と原因究明を進めています。

利用者に求められる具体的な防衛策

同ショップを利用したことがあるユーザー、特に10月中旬以降にサイトを開いた方は、以下の対応を速やかに行うことが推奨されます。

1. 利用明細の定期的な確認
   • 身に覚えのない請求や、数円〜数十円単位の不審なテスト決済が発生していないか、クレジットカードの利用明細を過去に遡って確認してください。
2. 不審な請求を発見した場合の連絡
   • 万が一、不正利用の疑いがある請求を発見した場合は、すぐに該当のクレジットカード会社へ連絡し、カードの利用停止および再発行手続きを行ってください。
3. 個別メールの確認
   • 同社から対象ユーザーへ順次送信されている案内メール（差出人や内容の真偽に注意しつつ）を確認し、指定された手順に従ってください。
4. フィッシング詐欺への警戒
   • 個人情報（氏名・メールアドレス・住所など）が漏えいした可能性があるため、同社を騙った不審なメールやSMS、不審な配送連絡等に十分ご注意ください。

公式ショップの再開や今後の抜本的な再発防止策については、第三者調査機関による詳細レポートを踏まえて改めて発表される予定です。

ユーザーとしては、まずは自身のカード利用状況のチェックと身の回りの防衛策を徹底することが求められます。