グッドスマイルカンパニーのECサイトへの不正アクセスによる会員情報閲覧の可能性
公表日
株式会社グッドスマイルカンパニーが運営する公式ECサイトが脆弱性を突いた不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員の氏名や住所、注文情報、クレジットカード情報の一部などが閲覧された可能性があるとしてサイトを閉鎖しました。
対象者は？
「グッドスマイルカンパニー公式ショップ」の会員。閲覧された可能性があるのは、氏名、読み仮名、性別、住所、電話番号、メールアドレス、注文日や商品名等の注文情報、クレジットカード情報の一部（ブランド、下4桁、有効期限）。なお、クレジットカード名義、下4桁を除く全桁の番号、セキュリティコードは含まれていません。対象人数は調査中です。
確認が完了した対象会員には、同社から順次個別にメールで連絡が行われる予定です。また、別システムで稼働している公式カスタマーサポート窓口から問い合わせが可能です。
いますぐできること
- グッドスマイルカンパニーや配送業者、公的機関、金融機関などを名乗る不審なメールやSMS、電話に注意し、本文中の不審なURLを開かないようにしてください。
- 公式ショップから個別連絡のメールが届いていないか確認し、心当たりのない連絡には記載された連絡先ではなく公式サイトの正規窓口を確認してください。
何が起きたのか
2026年10月19日15時過ぎから10月22日22時頃にかけて、ECサイト「グッドスマイルカンパニー公式ショップ」の管理情報に対して第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が複数回行われました。システムログの解析でこの事実が確認されたため、同社は2026年10月23日にサイトを直ちに閉鎖し、事態を公表するとともに個人情報保護委員会へ報告しました。
なぜ起きたのか・なぜ広がったのか
システムの脆弱性を悪用されたことによる不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と認識されています。ただし、具体的にどのような脆弱性が突かれたのか、侵入経路の全容はどうだったかについては現在調査中とされています。
いまの状況2026-10-24 時点続報待ち
公式ショップは閉鎖されたままで再開時期は未定です。同社は原因とみられる脆弱性の改修とシステムセキュリティの強化を実施し、影響を受けた会員の特定調査を進めています。確認が完了次第、対象者へ個別にメールで連絡する予定です。
企業として考えたいこと
自社の管理システムや顧客データベースは、インターネット側から直接アクセスできないように隔離や接続元制限が徹底されていますか？
技術的な要約
株式会社グッドスマイルカンパニーは2026年10月23日、運営するECサイト「グッドスマイルカンパニー公式ショップ」が第三者による不正アクセスを受け、会員の個人情報等が不正に閲覧された可能性があると発表した。システムログの解析によると、2026年10月19日15時過ぎから10月22日22時頃にかけて、管理情報に対する複数回のアクセスが発生していた。閲覧された可能性がある情報には、氏名、住所、電話番号、メールアドレスなどの基本情報、注文情報、およびクレジットカード情報の一部（ブランド、下4桁、有効期限）が含まれるが、影響人数は明らかになっていない。同社は不正アクセスの判明後直ちにサイトを閉鎖し、原因とみられる脆弱性の改修などのセキュリティ強化を実施した上で個人情報保護委員会へ報告を行った。サイトの再開時期は未定であり、対象の可能性がある会員には確認が済み次第メールで個別に連絡するとしている。
攻撃の分類
- 侵入口
- 不明公式発表では現時点で脆弱性による不正アクセスと認識していると説明されているが、具体的な脆弱性や侵入経路の全容は公表されていない（公式は推定として記載）。
- 脆弱性
- CVE 非公表報道・研究者原因と思われる脆弱性の改修およびシステムセキュリティの強化を実施したと公表されているが、対象製品名やCVE番号は非公表
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセスの判明後、直ちに「グッドスマイルカンパニー公式ショップ」が閉鎖され、再開・復旧のめどは立っていない。期間：閉鎖中（2026年10月23日判明以降、再開時期未定）
- データ
- おそれ上限 —確定 —氏名住所電話メール性別購入履歴クレカその他会員の基本情報（氏名、読み仮名、性別、住所、電話番号、メールアドレス）、注文情報（注文日、商品名、数量、金額、お届け先住所・氏名・電話番号、決済方法、決済状況）、クレジットカード情報（ブランド、カード番号下4桁、有効期限）が閲覧された可能性がある。カード名義、全桁の番号、セキュリティコードは含まれない。影響人数や実際の外部持ち出しの規模は公表されておらず未確定。
- 波及先
- —
- 閲覧された情報を悪用し、同社や公的機関、金融機関などを名乗る不審なメールや電話、SMSによる詐欺やなりすましの懸念
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-19 15:00
- 2026-10-22 22:00
- 2026-10-23
- 2026-10-23
- 2026-10-23
- 2026-10-23
- 2026-10-23
- 2026-10-24
技術解説
管理情報への不正アクセスと閲覧の経緯 事実
グッドスマイルカンパニーの公表によると、2026年10月19日15時過ぎから10月22日22時頃にかけて、ECサイト「グッドスマイルカンパニー公式ショップ」の管理情報に対する第三者からの複数回のアクセスが発生していたことがシステムログの解析により確認された。閲覧された可能性がある情報には、会員の基本情報（氏名、読み仮名、性別、住所、電話番号、メールアドレス）、注文情報（注文日、商品名、数量、金額、お届け先情報、決済方法、決済状況）、およびクレジットカード情報の一部（ブランド、カード番号下4桁、有効期限）が含まれる。一方で、カード名義、下4桁以外のカード番号全桁、セキュリティコードは閲覧対象に含まれていない。同社は不正アクセスの判明後、直ちにサイトを閉鎖し、原因とみられる箇所の改修などセキュリティ強化を行った上で個人情報保護委員会へ報告した。影響を受けた会員数や実際の持ち出し規模は公表時点で未確定である。
脆弱性の悪用と管理機能へのアクセス経路 解釈
同社は原因について「脆弱性を突かれたもの」と説明し、判明した箇所の改修を実施したとしているが、悪用された具体的なソフトウェア製品名や脆弱性の識別子（CVE等）は明らかにされていない。システムログの解析によって10月19日から22日までの複数回にわたるアクセスが特定された点から、管理機能に対するアクセス記録自体は残されていたと考えられる。一方で、不正アクセスが約3日間にわたり断続的に行われていた事実は、異常な管理画面アクセスや大量データの参照をリアルタイムで検知・遮断する仕組みが十分に機能していなかった可能性を示唆している。Webアプリケーションの認可不備や既知の脆弱性経由で管理権限が奪取されたのか、あるいは外部公開されていた管理インターフェースが直接標的となったのかなど、侵入経路と侵害範囲の全容について今後の詳細な検証が注目される。
事業停止措置と二次被害防止への対応評価 解釈
同社は不正アクセスを把握した直後に公式ショップを全面的に停止し、再開時期を未定として調査を優先する措置をとった。ECサイトの閉鎖は直接的な売上損失を伴うものの、さらなる情報流出の抑止や原因究明を最優先した迅速な封じ込め対応といえる。また、問い合わせ窓口をECサイトとは切り離された別基盤のカスタマーサポートで受け付けたことは、侵害の影響を受けずに顧客対応を継続する上で効果的な運用設計である。流出の可能性がある情報に関しては、クレジットカードの完全な番号やセキュリティコードが含まれていないため即座の不正決済リスクは限定的とみられる。しかし、氏名、住所、電話番号、具体的な購入商品名などが揃って漏洩した疑いがあるため、これらを悪用した配送業者や公式ショップを装う標的型フィッシング詐欺への注意喚起と、会員個別への早期通知が引き続き重要となる。
対応
- 封じ込め
- 不正アクセスの判明後直ちにECサイトを閉鎖し、原因と思われる脆弱性の改修などのシステムセキュリティ強化を実施した。また、問い合わせ窓口は本体ECサイトとは別の独立したシステムで稼働しているカスタマーサポートで受け付けている。
- 公表の仕方
- 2026年10月23日に自社Webサイトおよび公式Xアカウントにて公表し、閲覧された可能性のある情報項目を明示するとともに、情報を悪用した不審なメールや電話等への注意を呼びかけた。対象となる可能性のある会員に対しては、確認が完了次第、順次個別のメールで報告を行う予定としている。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理インターフェースの外部公開制限とアクセス制御 | 管理画面や管理用APIはインターネット全体に公開せず、特定の踏み台サーバーやVPN、送信元IPアドレス制限、クライアント証明書またはゼロトラストネットワークアクセス（ZTNA）を経由した接続のみに制限する。 |
| 管理機能における異常行動のリアルタイム検知と遮断 | 管理者セッションでの通常と異なる大量レコード照会、未知のIPアドレスからのログイン、短時間での複数回アクセスなどをSIEMやログ監視ツールで検知し、自動的にセッションを切断またはアラートを発報するルールを設定する。 |
| Webアプリケーションおよび関連ミドルウェアの脆弱性管理 | 定期的な脆弱性診断（DAST/SAST）に加え、利用しているECパッケージやCMS、プラグイン、ミドルウェアのSBOM（ソフトウェア部品表）を管理し、ベンダーから公表されるセキュリティパッチを迅速に適用する運用プロセスを確立する。 |
| インシデント発生時の顧客接点の冗長性と分離 | ECサイト等の本番環境が不正アクセス等で完全停止した場合に備え、問い合わせフォームやサポート窓口、ステータス告知ページは本番サイトとは別系統の独立したインフラ（SaaS等）で運用・提供できるように設計しておく。 |
自組織などでの確認項目
- 自社のECサイトや社内管理システムにおいて、管理画面やAPIエンドポイントが外部インターネットから直接到達可能な状態になっていないか。
- 管理者権限を持つアカウントや管理APIによる個人情報・注文情報の閲覧ログを常時記録し、異常なアクセス頻度やデータ取得を検知できる体制があるか。
- 主力サービスやECサイトのWebサーバーを緊急停止せざるを得ない事態が発生した際、顧客からの問い合わせ受付や障害告知を代替できる別系統の窓口が準備されているか。
未解明点
- 不正アクセスに悪用された脆弱性の具体的な種類や製品名、および侵入経路（管理画面の認可不備、外部公開APIの欠陥、サーバーソフトウェアの既知の脆弱性等）の全容は何か。
- 実際に不正閲覧または外部へ持ち出された会員情報の件数・範囲や、対象となった会員の総数はどれだけか。
出典
- 1電撃オンライン2026-10-24報道本文確認済
- 2KAI-YOU2026-10-24報道本文確認済
- 3電ファミニコゲーマー2026-10-23報道本文確認済
- 4Game*Spark2026-10-23報道本文確認済
- 5セキュリティ対策Lab2026-10-24報道本文確認済
- 6Good Smile Company, Inc.2026-10-23公式本文確認済
- 7株式会社グッドスマイルカンパニー2026-10-23公式本文確認済
- 8Game*Spark2026-10-23報道本文確認済