フィギュアなどを手がけるグッドスマイルカンパニーは10月23日、通販サイト「グッドスマイルカンパニー公式ショップ」が第三者から不正アクセスを受け、会員情報や注文情報、カード情報の一部が流出した可能性があると発表した。同サイトは閉鎖中で、再開時期は未定となっている。
事案の詳細
ASCII.jpの報道によると、同社がシステムの記録を調べた結果、2026年10月19日午後3時過ぎから22日午後10時ごろにかけて、サイトの管理情報が不正アクセスにより複数回閲覧されていたことが分かった。同社は原因とみられるサイトの脆弱性を修正し、調査と対応を続けている。
流出した可能性がある情報は次のとおり。
- 会員情報：氏名、読み仮名、性別、住所、電話番号、メールアドレス
- 注文情報：注文日、商品名、数量、金額、決済方法、決済状況
- 別途登録された配送先：氏名、住所、電話番号
- カード関連：カードブランド、カード番号の下4桁、有効期限
カードの名義、下4桁以外のカード番号、セキュリティコードは含まれていないとしている。対象となる件数は報じられていない。同社は、対象となる可能性のある会員に、確認が済み次第メールで順次知らせる予定だ。
影響と背景
カード番号そのものは対象外とされているが、「何を、いつ、いくらで買ったか」という注文情報と、カードのブランド・下4桁・有効期限が一緒に流出した可能性がある点に注意したい。これらは、カード会社や通販サイトを装って「ご注文のカード決済に問題がありました」などと連絡する詐欺で、本物らしさを高める材料になる。実際の購入履歴に沿った内容のメールが届くと、利用者は見分けにくくなる。
また、予約販売や限定品の多い通販サイトでは、「入金期限が迫っています」「予約が取り消されます」といった焦りを誘う文面も使われやすい。サイトが閉鎖中で公式の状況が確認しにくい時期は、偽の案内に誘導されやすくなる。
対策・今後の展望
- 利用者の方：同社やカード会社を名乗る連絡に注意する：メールやSMSのリンクから、カード番号やセキュリティコードを入力しない。注文や決済の状況は、公式の案内やカード会社の公式アプリで確認する。
- カードの利用明細を確認する：身に覚えのない請求があれば、すぐにカード会社に連絡する。
- パスワードの使い回しを見直す：同じメールアドレスとパスワードを他のサービスで使っている場合は変更し、多要素認証を設定する。
- EC事業者の方：管理画面と脆弱性管理を点検する：今回は管理情報が数日にわたって複数回閲覧されていた。管理画面へのアクセス制限、管理者アカウントの多要素認証、アクセスログの定期確認を見直したい。
CSRIからの現場アドバイス
【現場で何が起きているか】ECサイトへの不正アクセスは、ここ数か月で特に公表が相次いでいる手口のひとつです。管理画面やサイトの脆弱性を突かれると、会員情報だけでなく注文履歴までまとめて見られてしまいます。今回のように、不正な閲覧が数日間続いてから気づくケースも少なくありません。
【平易な解説】カード番号の下4桁や有効期限だけでは、通常そのまま買い物には使えません。ただ、「あなたが○月○日に買った商品の決済で、末尾1234のカードに問題が…」と、本物の情報を混ぜた詐欺メールを作ることはできます。具体的すぎる連絡ほど、一度立ち止まって公式の窓口で確認することが大切です。
【今週中にできること】自社でECサイトを運営している場合は、管理画面のURLが外部から誰でも開ける状態になっていないか、管理者アカウントに多要素認証が設定されているか、サイトの構築パッケージやプラグインが最新か、の3点を確認してください。アクセスログを誰も見ていない場合は、定期確認の担当と頻度を決めることから始めましょう。