- フィギュアなどを手がけるグッドスマイルカンパニーが、通販サイト「グッドスマイルカンパニー公式ショップ」に第三者の不正アクセスがあり、会員の個人情報等が不正に閲覧されたことを確認したと、10月23日に発表しました。
- 閲覧された可能性があるのは、氏名・読み仮名・性別・住所・電話番号・メールアドレス、注文情報（注文日・商品名・金額・お届け先・決済方法など）、クレジットカードのブランド・番号の下4桁・有効期限です。カード名義、番号の全桁、セキュリティコードは含まれません。
- 件数は発表されていません。対象の可能性がある会員には、確認ができしだい、順番にメールで知らせるとしています。
- 公式ショップは不正アクセスが分かった直後から閉鎖されていて、再開の見込みはまだ示されていません。
- いちばん気をつけたいのは、本物の注文内容やカードの下4桁を書き込んだ偽メール・偽SMS・電話です。原因は「脆弱性による不正アクセス」とされていますが、どの脆弱性かは公表されていません。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）。10月に発表された件の一覧は「2026年10月の不正アクセス・情報漏えい 国内まとめ」にあります。
この記事は、グッドスマイルカンパニーのカスタマーサポートに載った公式の告知をもとに、分かっていることと分かっていないことを分けてまとめたものです。最新の内容はグッドスマイルカンパニーの告知で確かめてください。この記事も続報が出たら更新します。
最新情報（随時更新）
- 10月23日 21時ごろ：グッドスマイルカンパニーが告知「不正アクセスによるお客様情報流出の可能性について」を、カスタマーサポートのサイトに日本語・英語・繁体字中国語で出しました［公式告知］。公式ショップのページには「メンテナンス中」と表示され、メンテナンス期間は「2026/10/23 07:00〜未定」となっています。
何が起きたか
告知によると、システムの記録（ログ）を調べた結果、次のことが分かりました［公式告知］。
| 日時 | できごと |
|---|---|
| 10月19日 15時過ぎごろ〜10月22日 22時ごろ | 公式ショップの管理情報に、複数回の不正アクセスによる閲覧があった（詳細は確認中） |
| 不正アクセスの判明後 | すぐに公式ショップを閉鎖し、原因の確認を始めた。原因と思われる脆弱性の改修など、セキュリティを強化した |
| 10月23日 | 個人情報保護委員会に報告し、告知を発表 |
告知では、作業がいつ終わるかの見込みは「未だご案内できる状況に至っておりません」としています。公式ショップで買い物をしたり、注文の状況をサイトで確かめたりすることは、当面できません。カスタマーサポート（問い合わせフォーム）は、公式ショップとは別のシステムで動いていて、閉鎖中も使えます。
閲覧された可能性のある情報・含まれない情報
告知に書かれた項目を、そのまま表にしました。件数や対象の人数は書かれていません。
| 区分 | 閲覧された可能性のある情報 |
|---|---|
| 基本情報 | 氏名、読み仮名、性別、住所、電話番号、メールアドレス |
| 注文情報 | 注文日、商品名、数量、金額、お届け先の住所・氏名・電話番号（別に登録していた場合）、決済方法、決済状況（決済済みかどうか） |
| クレジットカード情報 | カードのブランド、カード番号の下4桁、有効期限 |
含まれないと書かれているもの：カード名義、カード番号の全桁（下4桁を除く部分）、セキュリティコード。
ログインのパスワードについては、告知の項目に出てきません。漏れていないと書かれているわけでもないので、続報を待つ必要があります。
お届け先を別に登録していた場合は、家族や友人など、贈り先の住所・氏名・電話番号も含まれます。自分では会員登録をしていない人に、偽の連絡が届くこともありえます。
会員の人が今やること
グッドスマイルカンパニーが告知でお願いしているのは、心当たりのない送信元からのメール・電話・SMSに応じないこと、リンクを押さないことです。パスワードの変更やカードの停止は、告知では求められていません。そのうえで、やっておくと安心なことを順番に並べます。
- メールやSMSのリンクを押さない：「お詫び」「返金」「再決済のお願い」などの連絡が来ても、その中のリンクや電話番号は使いません。公式の情報は、グッドスマイルカンパニー カスタマーサポートで確かめます。
- カードの利用明細を見る：漏れた可能性があるのは番号の下4桁と有効期限で、番号の全桁やセキュリティコードは含まれません。それでも、身に覚えのない請求がないかを、カード会社のアプリや明細でときどき確かめておくと安心です。不審な請求があれば、カード会社に連絡します。
- 同じパスワードを使い回していたら変える：公式ショップと同じメールアドレスとパスワードの組み合わせを、ほかの通販やSNSでも使っていたなら、そちらのパスワードを変えておきます。公式ショップのパスワードは、再開後にあらためて案内が出るかを確かめてください。
- お届け先に登録していた家族などにも伝える：贈り先として住所や電話番号を登録していた相手にも、不審な連絡に気をつけるよう伝えておきます。
- 分からないことは公式の問い合わせフォームへ：告知では、本件の問い合わせはカスタマーサポートのお問い合わせフォームで受けるとしています。
偽メール・偽SMSの見分け方
今回、閲覧された可能性がある情報には、実際に買った商品名や金額、決済方法、カードの下4桁が含まれます。こうした本物の情報が書かれていると、偽の連絡でも本物らしく見えてしまいます。告知でも、グッドスマイルカンパニーや公的機関、金融機関などを名乗った不審なメール・電話・SMSによる詐欺やなりすましのおそれがあるとしています。
注文日・商品名・金額・カードの下4桁などが正しく書かれていても、それだけで公式からの連絡だと決めないでください。こうした情報が閲覧された可能性があること自体が、今回の発表の内容です。
次のような連絡は、まず疑ってかかります。
- 「決済に失敗した」「カードの有効期限が切れた」として、カード番号やセキュリティコードを入れさせるもの
- 「お詫びの返金」「補償」を理由に、口座番号やカード情報、ログイン情報を聞き出すもの
- 予約商品の「発送停止」「キャンセル」を急がせるもの
- リンク先のアドレスが goodsmile.com ではないもの（似た文字の別のドメインもあります）
- カード会社や警察、消費生活センターなどを名乗って、今回の件を持ち出してくる電話
迷ったときは、届いた連絡の中のリンクや電話番号は使わず、自分で開いたカスタマーサポートのページから問い合わせます。偽のページでカード番号などを入れてしまったら、すぐにカード会社に連絡してください。
原因について分かっていること
告知では、原因は調査中としたうえで、現時点では「脆弱性による不正アクセスを受けたことが原因と認識しております」としています。どのソフトウェアのどの脆弱性かは書かれていません。
このサイトでは、10月21日夜に修正版が出たPHPの脆弱性「php2shell」も追っていますが、グッドスマイルカンパニーの告知にPHPの記載はありません。関係があるかどうかは分からないので、この記事では推測で結びつけません。続報で原因が公表されたら追記します。
企業向け：通販サイトの管理情報を守るには
通販サイトを運営する会社に向けて、一般的な対策をまとめます。今回の侵入経路とは関係なく、会員情報や注文情報が外から見られる被害を減らすための観点です。
- 管理画面や管理用のAPIを、外から自由に使えないようにする：使える人と接続元をしぼり、管理者のログインには二要素認証を使う
- 使っているソフトやサーバーの更新を止めない：EC パッケージ、プラグイン、言語やミドルウェアの修正版が出たら、早めに当てる
- アクセスの記録を残し、ふだんと違う動きに気づけるようにする：今回の告知のように、ログを調べられることが、影響範囲を絞り込む前提になります
- 漏れたときの連絡手段を、サイトとは別に持っておく：今回、問い合わせフォームが公式ショップとは別のシステムで動いていたため、閉鎖中も窓口を開けておけました
個人情報保護法では、不正な目的で行われたおそれのある漏えいなどは、個人情報保護委員会への報告と本人への通知が必要になります。くわしくは個人情報保護委員会のページで確かめられます。
よくある質問
自分が対象かどうか、どうすれば分かりますか？
告知では、確認が済みしだい、対象となる可能性のある会員に、順番に個別のメールで知らせるとしています。公式ショップの会員なら、対象かもしれないと考えて、不審な連絡に気をつけておくと安心です。届いたメールが本物かどうかは、メールの中のリンクではなく、カスタマーサポートのサイトで確かめてください。
クレジットカードは止めたほうがいいですか？
告知では、カード番号の全桁とセキュリティコードは含まれないとしていて、カードの停止は求めていません。不安なときや、身に覚えのない請求があったときは、カード会社に相談してください。偽のページでカード番号を入れてしまった場合も、すぐにカード会社へ連絡します。
公式ショップはいつ再開しますか？
告知の時点では、作業完了の見込みは示されていません。再開の案内は、公式ショップやカスタマーサポートのサイト、公式のSNSで確かめてください。
何人分が対象ですか？
件数や人数は発表されていません。この記事では、公表されていない数字は書きません。
原因はPHPの脆弱性ですか？
告知は「脆弱性による不正アクセス」としていますが、どの脆弱性かは書かれておらず、PHPの記載もありません。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。グッドスマイルカンパニー公式ショップの個人アカウントや注文についてのご相談は、同社のカスタマーサポートにお問い合わせください。
参考にした情報
- 株式会社グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について」（2026年10月23日）
- Good Smile Company "Notice of Possible Exposure of Customer Information Due to Unauthorized Access"（英語版、2026年10月23日）
- グッドスマイルカンパニー公式ショップ（メンテナンス中の表示）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
