フィギュア「ねんどろいど」シリーズなどで知られるグッドスマイルカンパニー（東京都千代田区）は10月29日、同社が運営するECサイト「グッドスマイルカンパニー公式ショップ」への不正アクセスに関する第3報を公表した。クレジットカードの決済ページに不正なプログラムが仕掛けられていたことが判明し、カード番号の全16桁やセキュリティコードなどの情報が、最大で2800人分漏えいした可能性があるという。
時系列で見る経緯
同社の発表や報道を基に、今回の経緯を時系列で整理する。
まず10月19日の午後3時すぎから22日の午後10時ごろにかけて、公式ショップの管理情報が複数回にわたり不正に閲覧されていた。同社は10月23日の午前6時ごろ、システムの開発・保守を委託している事業者からの連絡で不正アクセスに気づき、同日午前7時にサイトを閉鎖した。
23日の第1報では、会員の氏名や住所、電話番号、メールアドレス、注文情報などが閲覧された可能性が公表された。カード情報については「ブランド、番号の下4桁、有効期限」にとどまるとされていた。
しかしその後の調査で、10月21日の午後1時55分から23日の午前7時までの間、クレジットカード決済ページに不正なプログラムが設置されていたことが10月28日に新たに判明。29日の第3報で、カード情報の漏えいの可能性が公表された。
漏えいの可能性がある情報
対象として挙げられているのは、次のとおりだ。
この期間にカード情報を入力した可能性がある2800人については、クレジットカード名義人の氏名、カード番号の全16桁、有効期限、セキュリティコード（3桁または4桁）が漏えいした可能性がある。内訳は、カード決済を完了した384人のほか、決済を試みたが完了しなかった人、サイトにログインしてカートに商品を入れたが決済手続きに進まなかった人、予約後にカード情報を変更した人などだ。
同社によると操作の記録が残っていないため、決済を試みた人やカートに入れた人を個別に特定できず、該当しうる全員にメールで連絡したという。カートに入れただけで決済に進まなかった人についてはカード情報の漏えいはないとみているが、同社は心当たりがある場合、カードの利用明細を確認するよう呼びかけている。
また、過去にカード情報を登録したことがある顧客については、カード番号の下4桁と有効期限が漏えいした可能性がある。対象は重複を除いて402,466枚に上る。カード名義や全桁、セキュリティコード、カードに紐づく会員情報は漏えいしていないという。
さらに、10月22日の午後10時20分ごろから同日午後11時ごろまでに注文した7673人については、氏名や住所、電話番号、メールアドレス、注文内容、金額、決済方法などが漏えいした可能性があるとしている。
なお、Amazon PayやPayPalといった外部決済サービスを利用していた人については、カード情報をサイト側で保持していないため対象外だ。楽天市場の「GOOD SMILE STORE 楽天市場店」や「ねんどろいどフェイスメーカー」は別のシステムで運営されており、こちらも対象外となっている。
原因はシステムの脆弱性
同社は、サイトで使用していたシステムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得されたものとみている。判明した脆弱性については改修を実施し、個人情報保護委員会にも報告したという。
ITmediaやImpress Watch、4Gamerなどが相次いで報じ、Googleトレンドでも「グッドスマイルカンパニー」が急上昇した。
利用者が今すべきこと
同社は会員に向けて、不審なメールや電話、SMSなどによる詐欺やなりすましに注意するよう呼びかけている。カード情報を入力した可能性がある期間にサイトを利用した人は、クレジットカードの利用明細を確認し、身に覚えのない請求があればカード会社に相談するのが望ましい。
通販サイトを狙う攻撃が続く中で
ネット通販サイトを狙った不正アクセスは後を絶たない。人気フィギュアの予約販売などで利用者が多く、クレジットカードを使う場面も多い公式ショップだけに、今回の被害の公表は大きな衝撃を与えている。
サイトは現在も閉鎖されており、再開の時期は未定だ。同社は調査と対応を続けるとしており、続報が待たれる。
本記事は、グッドスマイルカンパニーが10月29日に公表した「不正アクセスによるお客様情報流出の可能性について（第3報）」および、ITmedia、Impress Watch（HOBBY Watch）、4Gamerなどの報道を基に執筆しています。
