グッドスマイルカンパニーでカード情報漏えい懸念｜ECサイトの対策

社長、自社のネットショップでお客様がカード番号を入力する画面について、最後に安全性を確認したのはいつですか。商品ページが正常に表示され、注文も受け付けられているからといって、決済画面まで安全とは限りません。

2026年10月29日、グッドスマイルカンパニーは公式ショップへの不正アクセスについて第3報を公表しました。決済ページに不正なプログラムが設置され、2,800名についてクレジットカード情報が漏えいした可能性があると発表しています。

今回の事例で中小企業が考えたいのは、ECサイトの脆弱性対策だけではありません。管理者権限、決済画面の改ざん検知、保守委託先との連絡体制、事故発生後の顧客対応まで含めて確認することが重要です。

1．グッドスマイルカンパニーで何が起きたのか

グッドスマイルカンパニーの2026年10月29日付第3報によると、公式ショップでは10月19日15時過ぎから22日23時前にかけて第三者による不正アクセスが発生しました。10月23日午前6時過ぎ、システム開発・保守委託先からの連絡によって不正アクセスが判明し、同日午前7時にサイトを閉鎖しています。

その後の調査で、顧客情報が複数回閲覧されたことに加え、10月21日13時55分から23日午前7時まで、クレジットカード決済ページに不正なプログラムが設置されていたことが分かりました。このプログラムの設置が判明したのは、10月28日18時30分過ぎです。

一次情報：グッドスマイルカンパニー｜不正アクセスによるお客様情報流出の可能性について（第3報）

2．2,800名のカード情報漏えいの可能性

公式第3報では、不正なプログラムが設置されていた期間に、決済ページでカード情報を入力した可能性のある2,800名が対象とされています。漏えいした可能性がある情報は、カード名義人名、カード番号全16桁、有効期限、セキュリティコードです。

この2,800名には、カード決済で注文した384名、決済を試みたものの完了しなかった利用者、カートへ商品を入れたものの決済へ進まなかった利用者、予約後にカード情報の変更手続きをした185名などが含まれています。

ただし、システム上の操作記録がないため、一部の利用者について決済画面への進行状況を特定できません。カード情報を入力していないと考えられる利用者も含め、可能性のある対象者へ幅広く個別連絡したと説明されています。

3．約40万枚の登録カード情報との違い

第3報では、過去にカード情報を登録した利用者についても、カード番号下4桁と有効期限が漏えいした可能性があると公表されています。対象となるカード枚数は、重複を除いて402,466枚です。

こちらについて、カード名義人名やセキュリティコードの漏えいは確認されていないと説明されています。また、登録会員情報についても漏えいはないとされています。

重要なのは、2,800名の対象と402,466枚の対象では、漏えいした可能性がある情報の種類が異なることです。さらに、402,466はカード枚数であり、同数の利用者がいるという意味ではありません。

4．注文情報7,673名の対象範囲

カード情報とは別に、2026年10月22日22時20分前から23時前までの間に注文した7,673名について、注文情報が漏えいした可能性も公表されています。

対象となる可能性がある情報は、届け先や請求先の氏名、住所、電話番号、メールアドレス、注文内容、金額、決済方法などです。公式発表では、不正に閲覧された注文件数は202件とされています。

ただし、閲覧された注文を完全に特定できないため、閲覧可能性がある7,673件の注文に関係する利用者全員を対象としていると説明されています。

この数字も、7,673名全員の注文情報が実際に外部へ流出したと確定したものではありません。

5．決済ページの不正プログラムとは

ECサイトでは、利用者がカード番号や有効期限などを入力する決済画面が重要な保護対象です。この画面に不正なプログラムが設置されると、利用者が入力した情報を第三者に取得されるおそれがあります。

このような手口は、一般にWebスキミングやフォームジャッキングと呼ばれる攻撃に関連します。ただし、今回の攻撃について、具体的なプログラムの動作や情報の送信先まで公式発表で明らかになっているわけではありません。

見た目が通常の決済ページと変わらない場合、利用者自身が異常を見つけることは難しくなります。そのため、ECサイト運営企業による決済ページの変更監視やアクセス権限の管理が重要です。

6．ECサイトの脆弱性と管理者権限

グッドスマイルカンパニーは、サイトで使用していたシステムの一部に存在する脆弱性が悪用され、管理者権限が不正に取得されたものと認識していると説明しています。

管理者権限は、サイトの設定変更やプログラムの更新などに使われる重要な権限です。不正に取得されると、通常の利用者にはできない変更を行われる危険があります。

同社は、原因と思われる脆弱性を改修し、システム間の接続情報を無効化・更新するなどの対策を実施したと公表しています。なお、原因と思われる脆弱性は、近時報告されたPHPの脆弱性ではないと説明しています。

中小企業でも、管理者アカウントの数、権限の付与状況、多要素認証の設定、システム更新の実施状況を確認することが重要です。

7．第1報から第3報で変わったこと

今回の事故では、10月23日に第1報、26日に第2報、29日に第3報が公表されました。第3報では、それまでの説明から一部の情報が変更されたことが明示されています。

特に重要なのは、決済ページに不正なプログラムが設置されていたことが10月28日に判明し、カード番号全16桁やセキュリティコードの漏えいの可能性が新たに公表された点です。

サイバー事故では、最初の調査で確認できなかった事実が、後から判明する場合があります。企業が顧客へ説明する際には、調査時点、確認済みの事実、未確認の事項を明確に区別し、必要に応じて情報を更新することが大切です。

8．サイト閉鎖と業務継続への影響

グッドスマイルカンパニーは、不正アクセスの判明後、10月23日午前7時に公式ショップを閉鎖しました。10月29日の第3報では、安全性が確認でき次第、再開時期を案内するとしています。

ECサイトの停止は、売上機会だけでなく、注文受付、顧客からの問い合わせ、発送状況の案内などにも影響する可能性があります。ただし、同社で具体的にどの業務にどれだけの損失が発生したかは、今回確認した公式発表からは判断できません。

中小企業では、ネットショップを一時停止した場合の顧客への案内手段、注文済み商品の対応、問い合わせ窓口を事前に決めておくことが重要です。

9．保守委託先との連携で確認すること

今回、不正アクセスの発生を運営会社へ連絡したのは、公式ショップのシステム開発・保守委託先事業者でした。外部の保守会社が異常を発見し、運営企業へ連絡する体制の重要性を考える事例です。

ただし、今回の事故原因が保守委託先の管理不足だったと確認されたわけではありません。委託先の責任を推測で断定することは避ける必要があります。

保守会社へ確認したい事項

• 脆弱性情報を誰が確認し、更新を判断しているか
• 管理者アカウントと外部接続をどう管理しているか
• 決済ページの不正な変更をどう検知しているか
• 異常を発見した場合、何時間以内に誰へ連絡するか
• 緊急時に決済機能やサイトを停止する手順があるか
• アクセスログや変更履歴を保存しているか

外部へ委託していても、ECサイト運営企業が顧客への説明や事業継続を考える必要はなくなりません。保守会社と役割分担を確認しておくことが重要です。

10．カード利用者が確認したい対応

グッドスマイルカンパニーは、カード情報の漏えいの可能性がある対象者へ個別にメールで連絡したと公表しています。また、公式案内でカード利用明細の確認などの注意事項を示しています。

対象期間に公式ショップを利用した心当たりがある場合は、公式サイトの最新案内を確認し、カード利用明細に身に覚えのない請求がないか点検しましょう。不審な利用があれば、カード発行会社の正規の連絡先へ相談することが重要です。

情報漏えいを装った偽メールが送られる可能性も考えられるため、メール本文中のリンクから安易に個人情報やカード情報を入力しないよう注意しましょう。

なお、カードの再発行が必要かどうかは、カード会社の案内や個別の状況に応じて判断します。すべての利用者に一律の対応が必要だと断定することは避けます。

11．中小企業のECサイトで実施したい対策

今回の事例を踏まえ、中小企業が優先的に確認したいのは、決済ページの監視、管理者権限、脆弱性対応、事故時の連絡体制です。

自社でシステムを開発していない場合でも、ECサイト構築会社や保守会社へ具体的に確認することはできます。専門用語を理解すること以上に、誰が安全性を確認する責任を持っているかを明確にすることが大切です。

カード決済を扱うECサイトでは、契約している決済代行会社や関連事業者と、適用されるセキュリティ要件を確認することも重要です。決済画面を外部サービスへ委託している場合でも、自社側の安全管理を確認しましょう。

12．社長向け7項目チェックリスト

自社でECサイトを運営している場合は、次の7項目を「確認済み」「要確認」「未対応」に分けて点検してください。

1. ECサイトの脆弱性と更新状況を把握している
2. 管理者権限を持つ従業員と委託先を把握している
3. 重要な管理者アカウントに多要素認証を設定している
4. 決済ページの不正な変更を検知する仕組みがある
5. 保守委託先の緊急連絡先と対応手順が決まっている
6. 事故時に決済機能やサイトを停止する判断者がいる
7. 顧客への説明とカード会社等への連絡手順を整理している

13．まとめ｜今日できる一つの行動

グッドスマイルカンパニー公式ショップでは、システムの脆弱性を悪用した不正アクセスが発生し、決済ページに不正なプログラムが設置されていたことが公表されました。2,800名についてカード番号全16桁などの漏えいの可能性があり、登録済みカード約40万枚の一部情報や注文情報についても、別の対象範囲が示されています。

今回の事例は、ECサイトの見た目や注文機能が正常であっても、決済ページの安全性を継続的に確認する必要があることを考えるきっかけになります。脆弱性対策、管理者権限、保守委託先との連携、事故時の顧客対応を一体として見直しましょう。

公式一次情報

• グッドスマイルカンパニー｜不正アクセスによるお客様情報流出の可能性について（第3報・2026年10月29日）
• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編）
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料
• IPA｜中小企業向けセキュリティ対策情報

※本記事は2026年10月30日時点で確認できる公式第3報を基に作成しています。2,800名全員のカード情報が実際に流出したと断定するものではありません。調査結果や対象範囲、サイト再開状況は今後更新される可能性があります。