グッドスマイルカンパニーのカード情報漏えい、自分は対象？【10月30日公式発表】

「グッドスマイルカンパニー公式ショップの情報漏えいで、自分は対象？」「クレジットカードの番号は全部漏れたの？」「メールが届いていないけれど大丈夫？」と気になっている方に向けて、公式発表に書かれていることだけを整理しました。内容は、株式会社グッドスマイルカンパニーが2026年10月23日の第1報から10月30日の第4報までに公表した「不正アクセスによるお客様情報流出の可能性について」と、同社サポートサイトのFAQ（グループA・B・C・全対象共通）の原文を、2026年10月30日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。

自分は対象？公式発表でわかること早見表

第4報は「なお、第2報までにお知らせいたしました内容から、一部の情報に変更が生じております」としています。この記事は、10月30日の第4報と、同じ日までに更新されたFAQの内容を基準にしています。対象者と利用者への案内について書かれているのは次の範囲です。

知りたいこと	公式発表に書かれていること
対象になる人・人数	グループA・B・Cの3区分（下の「3つのグループの見分け方」）。グループAの人数は確認中
個別メール（グループB・C）	該当する人には個別に連絡済み。件名は、グループBが「【重要】弊社ECサイトへの不正アクセスによるクレジットカード情報漏えいの可能性およびご対応のお願い」など、グループCが「【重要】弊社ECサイトへの不正アクセスによる注文情報漏えいの可能性に関するお詫び」
メールが届いていない人（グループA）	グループAは「対象となるお客様の人数を現在確認中のため、個別のメールによるご連絡は行っておりません」。「個別メールが届いていない場合でも、過去に弊社ECサイトへクレジットカード情報をご登録いただいたことがある方は対象となります」
自分が対象かを調べる方法	照会ページの案内は公式発表に記載なし。各グループの該当条件とメールの件名がFAQに書かれています
退会した人	第2報で「本サイトにご登録のすべての会員様（本件により退会された元会員様を含みます。）に、本お知らせと同様の内容を、個別メールでご案内することといたしました」。退会済みの人が対象から外れるという記載はなし
PayPal・Amazon Pay	「PayPal・Amazon Payを経由したお支払いの情報について、情報漏えいは確認されておりません」。ただし注文情報（グループC）は決済手段を問わず対象になりうる
楽天市場店・ねんどろいどフェイスメーカー	別システムで運用されているため影響なし
問い合わせ先	グッドスマイルカンパニー カスタマーサポートのお問い合わせフォーム（本サイトと異なるシステムで運用）。電話窓口は記載なし

最新の内容はグッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第4報）」に、グループごとの該当条件とQ&Aは「2026年10月に発生した不正アクセスに関するFAQ」にまとめられています。第1報・第2報は「不正アクセスによるお客様情報流出の可能性について【2026年10月26日追記】」のページです。

3つのグループの見分け方

グループ	該当条件（公式FAQ）	漏えいした可能性のある情報	個別メール
A	公式ショップに、過去に一度でもクレジットカード情報を登録されたことがある方	カード番号下4桁・有効期限	送られていない（人数を確認中）
B	2026年10月21日13:55〜10月23日7:00に、公式ショップの決済画面にクレジットカード情報を入力された方（下の①〜④）	カード名義人名・カード番号（全16桁）・有効期限・セキュリティコード	2,800名に送付済み
C	10月22日23時前ころまでに注文した、出荷処理未了の注文を持つ人のうち5,356名の一部（202名以下）	お届け先・ご請求先の名前・住所・電話番号、メールアドレス、注文内容、金額、決済方法	5,356名全員に送付済み

グループBの①〜④は、①クレジットカード決済で注文した人（384名）、②クレジットカード決済を試みたが完了しなかった人、③ログインしてカートに商品を入れたが決済手続に進まなかった人、④予約後に決済用のカード情報を変更した人（185名）です。②と③は「操作の記録を保持していないため」区別できず、両方に個別メールが送られています。また「ご注文後、決済に用いたクレジットカード情報について変更手続を試みたが完了に至らなかったお客様」も漏えいの可能性があるものの、特定できないとしています。第4報は、この人たちに向けて「お心当たりのあるお客様におかれましては、下記第5項に記載の留意事項をご確認いただきますようお願い申し上げます」としています（この記事では下の「今やること」に整理しています）。

問い合わせ窓口

窓口	連絡方法	備考
グッドスマイルカンパニー カスタマーサポート	お問い合わせフォーム	「お問い合わせフォームは、本サイトと異なるシステムで運用しております」。電話窓口・受付時間は記載なし

公式ショップのトップページ（www.goodsmile.com）は、2026年10月30日の確認時点でメンテナンス期間を「JST: 2026/10/23 07:00〜未定」と表示し、第1報〜第3報のページを案内しています。届いたメールやSMSのリンクから窓口を開くのではなく、サポートサイトのお知らせから窓口をたどると確かめやすくなります。

何が漏えいした？公表された項目と件数

第4報の「お客様情報の漏えい状況」に書かれている内容は次のとおりです。いずれも「漏えいした可能性のある情報」として公表されています。

区分	公式発表の項目	件数・人数
クレジットカード情報（全情報）＝グループB	クレジットカード名義人名、クレジットカード番号（全16桁）、有効期限、セキュリティコード	2,800名（うち①注文384名・④カード情報変更185名）
クレジットカード情報の一部＝グループA	クレジットカード番号下4桁、有効期限。「クレジットカード名義人名およびセキュリティコードの漏えいは確認されておりません」	人数は確認中。カード枚数は重複を除き402,466枚
注文情報＝グループC	お届け先および／またはご請求先のお名前・ご住所・お電話番号、メールアドレス、注文内容、金額、決済方法	5,356名の一部（202名以下）。注文7,774件のうち最大202件

グループCの「決済方法」は、クレジットカード、PayPal、コンビニ決済、Amazon Pay、atone 翌月払い、後払いのどれを使ったかという情報で、「クレジットカード情報や銀行口座情報など、それぞれの決済方法に関する具体的な情報は含まれておりません」とされています。グループCは、注文7,774件のうち閲覧された可能性のある202件を「特定することはできませんでした」としており、5,356名全員に連絡しています。

第1報からの変更点

10月23日の第1報では、「閲覧された可能性のある個人情報等」として、基本情報（氏名、読み仮名、性別、住所、電話番号、メールアドレス）、注文情報、クレジットカード情報（ブランド、カード番号下4桁及び有効期限）が挙げられ、「カード名義、カード番号の全桁（下4桁除く）及びセキュリティコードは含まれません」と書かれていました。

10月29日の第3報では、10月21日13時55分から23日7時までの間、「クレジットカード決済ページに不正なプログラムの設置されていたことが判明いたしました」とし、この期間に入力されたカード情報（全16桁・セキュリティコードを含む）が漏えいした可能性があるとしています。不正なプログラムの設置は「10月28日18時30分過ぎころに判明したもの」です。グループAのFAQは、全16桁などを保存していなかった点について、漏えいは「決済ページ上でお客様の入力された情報が傍受されたことによるもの」と説明しています。また、グループAについて「ご登録の会員情報に関するデータベースへの不正アクセスは確認されていないため、カード番号下4桁・有効期限と紐づく会員情報の漏えいはございません」としています。

注文情報の対象は、第3報の「10月22日22時20分前ころから同日23時前ころまでの間にご注文いただいたお客様7,673名」から、10月30日の第4報で「出荷処理未了のご注文をお持ちのお客様すべてのうち、5,356名の一部（202名以下）」に修正されました。第4報の冒頭には「新たに漏えいの対象であることが判明したお客様には、本日早朝にメールにてご連絡いたしました」と書かれています。

漏えいした項目ごとに気をつけたいこと

グッドスマイルカンパニーは、第1報から第4報まで一貫して二次被害への注意を呼びかけています。第4報の原文は「漏えいされた情報を悪用し、当社や公的機関、金融機関等を名乗った不審なメールや電話、SMSによる詐欺やなりすましが行われる可能性がございます。心当たりのない送信元から発信されたこれらの連絡への対応は行わず、リンク等が記載されていてもクリックされないよう、ご留意いただきますようお願いいたします」です。項目ごとに、公式の案内と、satimo.orgの関連記事をまとめます。

カード番号全16桁・セキュリティコード（グループB）：利用明細の確認とカード会社への連絡

グループBのFAQは、まず「クレジットカードのご利用明細書やWeb明細をご確認いただき、身に覚えのない利用履歴がないかご確認いただきますようお願いいたします」とし、不審な請求があればカード裏面に記載のカード発行会社へ速やかに連絡するよう求めています。あわせて「クレジットカードの再発行手続もご検討いただければと存じます」と案内しています。再発行は本人がカード会社へ手続きする必要があり、同社が代わりに依頼することは「原則としてできません」とされています。

カード番号下4桁・有効期限（グループA）：下4桁を知っている連絡にも注意

グループAのFAQは「カード番号の下4桁と有効期限のみで決済を行うことは通常困難であり、これらの情報に紐づくお名前やその他の会員情報の漏えいも確認されておりません。そのため、今回漏えいした可能性のある情報のみによる不正利用の可能性は極めて低いものと認識しております」としています。一方で、同社は当社や金融機関などを名乗る不審な連絡への注意を呼びかけています。カード番号の下4桁や有効期限を示されたとしても、それだけで本物の連絡と判断せず、カード会社の窓口はカード裏面の番号や公式アプリから確かめるのが安全です（この一文は公式の案内ではなく一般的な注意です）。

住所・電話番号・メールアドレス（グループC）：心当たりのない電話・SMS・メールに注意

グループCは、お届け先・ご請求先の名前・住所・電話番号、メールアドレス、注文内容が漏えいした可能性があります。注文した商品名や金額を知っている相手からの連絡でも、心当たりのない送信元であれば応じず、リンクを開かないことが公式の呼びかけに沿った対応です。知らない番号からの着信は、出る前に番号を調べたり、着信拒否を設定したりできます。

• 知らない番号の調べ方：迷惑電話番号の検索・調べ方（総務省の公開情報で確認する手順）
• 番号の桁数で国内・海外を見分ける：電話番号の桁数一覧（10桁・11桁・12桁・13桁はどこから？）
• 海外からの着信を止めたい：国際電話の着信拒否はできる？（国際電話不取扱受付センターの申し込み手順）
• うっかり出てしまった・折り返してしまった：国際電話に出てしまったら？折り返し・留守電・料金の対処法

今やること（公式の案内と一般的な対策）

公式が案内していること（順番に）

1. 自分がどのグループに当てはまるかを、FAQの該当条件で確かめる。グループB・Cには件名つきの個別メールが送られています。グループAは個別メールがなく、過去に公式ショップへカード情報を登録したことがあれば対象です
2. グループBの個別メールを受け取った人は、カードの利用明細書やWeb明細で身に覚えのない利用履歴がないかを確認する。10月21日13時55分〜23日7時に、注文後のカード情報の変更を試みて完了しなかった心当たりがある人も同じです
3. 心当たりのない履歴や請求があれば、速やかにカード裏面に記載のカード発行会社へ連絡する。グループBの人には、カードの再発行手続の検討も案内されています（手続きは本人がカード会社へ）
4. 同社や公的機関、金融機関等を名乗る心当たりのない送信元からのメール・電話・SMSには対応せず、リンク等が記載されていてもクリックしない
5. わからないことは、グッドスマイルカンパニー カスタマーサポートのお問い合わせフォームから問い合わせる

今回の公式発表には、公式ショップのパスワード変更についての案内はありません（2026年10月30日確認）。

一般的な対策（公式の案内ではないもの）

次の内容は今回の公式発表に書かれている案内ではなく、カード情報や住所・電話番号などの漏えいが公表されたときに一般的に行われている対策です。

• メールやSMSのリンクからカード会社やショップのサイトを開かず、公式サイトや公式アプリから確かめる。警察庁は「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています（警察庁「フィッシング対策」）
• 心当たりのない番号からの電話には出ない・折り返さない。氏名・住所・注文した商品を知っている相手でも、それだけで本物の連絡とは限りません
• 個人情報の取り扱いについて相談したい場合は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30～17:30、土日祝日及び年末年始を除く）も使えます

補償・カードの再発行手数料は？

グループA・BのFAQは、補填について「クレジットカードの不正利用による被害が発生した場合、一般的にはクレジットカード会社の補償規定や不正検知システムに基づき、対応が行われるものと認識しております」としています。カードの再発行については、グループBのFAQで「今後、再発行手数料のお客様負担が発生しないよう、弊社より各クレジットカード会社へ申し入れを行っております」と書かれています。

金銭的な補償やお詫びの品・ポイントなどについては、公式発表時点で記載なしです（2026年10月30日確認）。

公式ショップの再開・注文・退会はどうなる？

知りたいこと	公式発表に書かれていること
再開時期	「本サイトの再開時期につきましては、安全性が確認でき次第、改めてご案内申し上げます」
10月発送予定の注文・予約商品	「順次出荷・発送作業を進めております」
予約注文の決済エラー（クレジットカード・PayPal）	サイト閉鎖で再決済できない人はお問い合わせフォームへ。「お客様のご注文が自動的にキャンセルとなることはございませんのでご安心ください」
閉鎖期間中の退会	「退会に関しましては、通常通り対応可能です」。お問い合わせフォームから個別に受け付け

経緯・原因と公表の履歴

第4報によると、原因は「本サイトで使用していたシステムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得されたものと認識しております」とされています。脆弱性の名称や内容は書かれていません。第4報は「原因と思われる脆弱性は、近時報告されたPHP脆弱性ではございません」としています。第2報でも「不正アクセスの原因は、PHP脆弱性によるものではございません」とし、PHP脆弱性に関する対応は10月21日から22日にかけてのメンテナンスで実施したと説明しています。最近報告されたPHPの脆弱性についてはPHP2Shellの影響製品一覧で整理しています。

対応として、同社は原因と思われる脆弱性の改修、システム間の接続情報一式の無効化と更新、その他のセキュリティ強化策を講じたとしています。個人情報保護委員会には報告済みで、「今後、クレジットカード会社ならびに決済代行会社への報告を進めて参ります」としています。

日付	公表・出来事
2026年10月19日15時過ぎころ〜22日23時前ころ	公式ショップへの第三者による不正アクセス（第1報では「22時ころ」まで、第4報で「23時前ころ」まで）。お客様情報が複数回閲覧された
2026年10月21日〜22日	PHP脆弱性に関する対応のメンテナンス（第2報。原因はPHP脆弱性ではないとしている）
2026年10月21日13時55分〜23日7時	クレジットカード決済ページに不正なプログラムが設置されていた（第3報で判明を公表）
2026年10月23日	午前6時過ぎころ、システム開発・保守委託先事業者からの連絡で判明。午前7時に公式ショップを閉鎖。第1報を公表し、個人情報保護委員会へ報告
2026年10月26日	第2報（第1報に追記）。原因はPHP脆弱性ではないこと、外部決済サービス・楽天市場店・ねんどろいどフェイスメーカーの扱い、全会員（本件で退会した元会員を含む）への個別メールでの案内などを追加
2026年10月28日18時30分過ぎころ	不正なプログラムの設置に関する情報が判明
2026年10月29日	第3報。決済ページへの不正なプログラムの設置を公表し、漏えいの可能性がある情報をカード情報の全情報・カード情報の一部・注文情報の3区分で示した。グループA・B・C別と全対象共通のFAQを公開
2026年10月30日	第4報（第3報の一部修正）。注文情報の対象を5,356名の一部（202名以下）に修正し、新たに対象と判明した人へ同日早朝にメールで連絡。「経緯・概要」のページも公開

2026年10月30日に確認した時点で、第4報より後の続報は出ていません。グループAの人数は「なお確認中」とされています。

ほかの事案（同じ時期に公表された情報漏えい）

同じ時期に公表された事案はガンダムベース会員の情報漏えい（漏れた項目）やモスカードの情報漏えい（PIN変更と窓口）、花キューピットの情報漏えい（漏れた項目と窓口）でも、公式発表をもとに整理しています。そのほかの事案は2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）で確認できます。

よくある質問

グッドスマイルカンパニー公式ショップの情報漏えいで、自分が対象か確認する方法はありますか？

A. 公式発表には、自分が対象かどうかを調べるページの案内はありません（2026年10月30日確認）。グループB（カード情報の全情報）とグループC（注文情報）の対象者には個別メールで連絡済みとされ、FAQに件名が載っています。グループA（カード番号下4桁・有効期限）は人数を確認中のため個別メールは送られておらず、過去に公式ショップへクレジットカード情報を登録したことがあれば、メールが届いていなくても対象とされています。わからない場合はカスタマーサポートのお問い合わせフォームから問い合わせます。

クレジットカードの番号は全桁漏れたのですか？

A. 人によって異なります。2026年10月21日13時55分から23日7時までに決済ページへカード情報を入力した可能性がある2,800名（グループB）は、カード名義人名・カード番号（全16桁）・有効期限・セキュリティコードが漏えいした可能性があります。それ以外で過去にカード情報を登録したことがある人（グループA）は、カード番号下4桁と有効期限のみで、名義人名とセキュリティコードの漏えいは確認されていないとしています。

カートに商品を入れただけなのに漏えいの可能性のメールが届きました。カード情報は漏れましたか？

A. グループBのFAQは「弊社ECサイト上の決済ページで対象期間中にクレジットカード情報の入力をされていないお客様につきましては、クレジットカード情報の漏えいはございません」としています。システムの仕様上、「決済を試み完了しなかった方」と「カートに入れたが決済に進まなかった方」を判別できないため、両方に個別メールが送られています。

PayPal・Amazon Payや楽天市場店で買った場合も対象ですか？

A. 公式FAQは「PayPal・Amazon Payを経由したお支払いの情報について、情報漏えいは確認されておりません」としています。ただし、注文情報（グループC）は決済手段を問わず漏えいした可能性があるとされています。楽天市場店（GOOD SMILE STORE 楽天市場店）とねんどろいどフェイスメーカーは、公式ショップとは別のシステムで運用されているため、影響はないとしています。

補償やカードの再発行手数料はどうなりますか？

A. 不正利用の被害については「一般的にはクレジットカード会社の補償規定や不正検知システムに基づき、対応が行われるものと認識しております」としています。再発行手数料は、利用者の負担が発生しないよう各クレジットカード会社へ申し入れを行っているとしています。再発行の手続きは本人がカード裏面のカード会社へ行います。金銭的な補償やお詫びの品については、公式発表時点で記載がありません（2026年10月30日確認）。

まとめ

• グッドスマイルカンパニーは、公式ショップへの不正アクセスについて10月23日の第1報から10月30日の第4報までを公表。公式ショップは10月23日7時から閉鎖中で、再開時期は未定
• 10月21日13時55分〜23日7時に決済ページへカード情報を入力した可能性がある2,800名（グループB）は、カード名義人名・番号全16桁・有効期限・セキュリティコードが漏えいした可能性。個別メールで連絡済み
• 過去にカード情報を登録したことがある人（グループA）は、カード番号下4桁・有効期限が漏えいした可能性（402,466枚・人数は確認中）。個別メールはなく、届いていなくても対象
• 出荷処理未了の注文を持つ人のうち5,356名の一部（202名以下）は、名前・住所・電話番号・メールアドレス・注文内容などが漏えいした可能性（グループC）。公式は不審なメール・電話・SMSへの注意を呼びかけ。問い合わせはお問い合わせフォーム

この記事は、2026年10月30日の株式会社グッドスマイルカンパニーの公式発表（第4報）までの情報（2026年10月30日確認）で書いています。グループAの人数などは確認中とされており、続報で内容が変わる可能性があるため、続報が出た場合は公式のお知らせを優先してください。

出典

• 株式会社グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第4報）」（第3報 2026年10月29日・第4報 10月30日・2026年10月30日確認）
• 株式会社グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について【2026年10月26日追記】」（第1報 2026年10月23日・第2報 10月26日）
• 「2026年10月に発生した不正アクセスに関するFAQ」（グループA／グループB／グループC／全対象共通・2026年10月30日確認）
• 警察庁「フィッシング対策」／個人情報保護委員会「個人情報保護法相談ダイヤル」