グッドスマイルカンパニー公式ショップに不正アクセス、カード下4桁・有効期限も対象

事案の概要データ

公表日	2026年10月23日
不正アクセスの痕跡	2026年10月19日 15時過ぎ〜10月22日 22時ごろ
対象	グッドスマイルカンパニー公式ショップ
漏えい項目	氏名、住所、メールアドレス、購入商品名、注文金額、配送先の情報
カード情報	ブランド、下4桁、有効期限が対象
含まれない情報	カード名義、下4桁以外のカード番号、セキュリティコード
原因	脆弱性を突かれたものと認識し、改修を実施
件数	未公表
復旧時期	未定（サイトは閉鎖中）
行政対応	2026年10月23日に個人情報保護委員会へ報告

図解：この事故の構造

図：カード番号の全桁は漏れていないが、本人確認に使われる下4桁と有効期限が対象になった。

クレジットカード情報のうち：ブランド・下4桁・有効期限が対象

漏えいの対象になった　カードブランド、下4桁、有効期限（いずれも変更できない／再発行が必要）
対象外とされた　カード名義、下4桁以外のカード番号、セキュリティコード

何が起きたのか

グッドスマイルカンパニーは2026年10月23日、公式ECサイト「グッドスマイルカンパニー公式ショップ」への不正アクセスを公表しました。痕跡が確認されたのは2026年10月19日15時過ぎから10月22日22時ごろにかけてです。

流出の可能性があるのは、氏名、住所、メールアドレス、購入商品名、注文金額、配送先の情報に加え、クレジットカードのブランド、下4桁、有効期限です。カード名義、下4桁以外のカード番号、セキュリティコードは含まれていないとされています。

同社は脆弱性を突かれたものと認識し、改修などを行いました。10月23日に個人情報保護委員会へ報告しています。影響を受けた会員の人数や流出規模は明らかになっておらず、復旧時期も未定です。

「カード下4桁」が漏れると何が起きるか

カード番号は16桁です。そのうち下4桁だけでは、決済に使うことはできません。

では問題ないかというと、そうではありません。下4桁は「本人確認」に使われることがあるからです。

電話でのサポート窓口や、Webの問い合わせフォームで、「カード番号の下4桁をお知らせください」と聞かれた経験はないでしょうか。本人だけが知っている情報として扱われています。

その下4桁が、氏名・住所・有効期限・購入履歴と一緒に渡っています。攻撃者は、これらを使って本人になりすます材料を持ったことになります。

さらに有効期限も漏れています。「お使いのカード（◯◯カード・下4桁1234・有効期限◯年◯月）の更新手続きが必要です」というメールは、極めて本物らしく見えます。

下4桁は変更できません。カードを再発行するまで、この組み合わせは有効なままです。

3日半にわたる侵入

痕跡が確認されたのは、10月19日15時過ぎから10月22日22時ごろ。約3日半です。

2026年の事案では、数か月から数年にわたる侵入が目立ちました。それに比べると短い期間ですが、ECサイトの3日半は決して短くありません。注文が入り続ける間、情報が流れ続けていたことになります。

気づいたきっかけは公表されていませんが、10月22日22時ごろに痕跡が途切れていることから、その時点で遮断されたと考えられます。

なお、10月19日という日付は、本サイトに掲載した他の事案とも重なります。日本ピザハット（決済API・10月19日）、リンツがフューチャーショップから報告を受けた日（10月19日）です。同じ日に複数のECサービスで事案が動いていました。

件数が出ていない段階での公表

本件は、件数も復旧時期も未定のまま公表されました。

これは適切な判断です。カード情報の一部が対象になっている以上、利用者には早く知らせる必要があります。件数の確定を待てば、その間に被害が広がります。

2026年10月23日のアンドエスティHD（検知から同日公表）、10月23日の日本ピザハット（件数は公式発表になし）も同様です。

中小企業が事故を起こしたときも、同じ考え方でよいのです。「全部分かってから公表しよう」とすると、公表が1か月後になります。その間、顧客は自衛できません。

分かっていることだけを、分かっている範囲で伝える。「調査中」と書いてよいのです。

対象となった方へ

まず、カードの利用明細を確認してください。身に覚えのない請求があれば、カード会社へ連絡します。

次に、カードの更新や決済確認を装った連絡に警戒してください。注文内容を把握した第三者が、配送や決済の確認を装って連絡してくる二次被害が懸念されています。

同社も、不審なメールや電話、SMSへの注意を呼びかけています。カードに関する連絡は、カード裏面の番号に自分からかけ直してください。相手から指定された番号にはかけないでください。

不安があれば、カードの再発行を検討してください。下4桁と有効期限が変わります。

時系列で見る経過

2026年10月19日 15時過ぎ公式ショップへの不正アクセスの痕跡が始まる
2026年10月22日 22時ごろ不正アクセスの痕跡が確認された最後の時刻
2026年10月23日不正アクセスを公表。サイトを閉鎖し、個人情報保護委員会へ報告
2026年10月以降件数・復旧時期ともに未定のまま調査を継続

中小企業が学ぶべきポイント

カード下4桁は「本人確認」に使われる。変更できず、再発行するまで有効。
ブランド・下4桁・有効期限が揃うと、カード更新を装う連絡が本物らしくなる。
カードに関する連絡は、カード裏面の番号に自分からかけ直す。
件数が分からなくても公表してよい。待てばその間に被害が広がる。
注文内容を把握した相手は、配送や決済の確認を装って連絡してくる。

出典・参考

ご注意
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。