株式会社グッドスマイルカンパニーは10月29日、「不正アクセスによるお客様情報流出の可能性について（第3報）」を公開し、ユーザーのクレジットカード情報が漏えいした可能性について報告した。
発表によると、10月21日13時55分から同月23日7時までの間に、サイトのクレジットカード決済ページにクレジットカード情報を入力したユーザー2800名が漏えいの可能性の対象となっている。
これにより、同期間中に決済ページでクレジットカード情報を入力した可能性のある2800名について、カード名義人名、カード番号（全16桁）、有効期限、セキュリティコードが漏えいした可能性があるとしている。該当者には個別にメールで連絡済みとなっている。
同社は漏えいの原因として、サイトで使用していたシステムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得されたものと認識しているという。一連の不正アクセスにより、サイトに記録されたユーザー情報が複数回閲覧されたほか、上記の期間中、クレジットカード決済ページに不正なプログラムが設置されていたことが判明したとのことだ。なお、この脆弱性については、PHPの脆弱性ではないと報告している。
お知らせ：不正アクセスによるお客様情報流出の可能性について（第3報）https://t.co/9f4MhWx9CT https://t.co/oeRAUi6AD3
— グッドスマイルカンパニー【公式】 (@gsc_goodsmile) October 29, 2026
また、サイトにクレジットカード情報を登録していたユーザーについては、カード番号下4桁と有効期限が漏えいした可能性があり、対象のカードは重複を除き40万2466枚にのぼるという。こちらはカード名義人名およびセキュリティコードの漏えいは確認されていないとのことだ。
このほかにも、10月22日22時20分頃〜23時頃に注文した7673名の注文情報が漏れた可能性についても言及されている。
現在の対応状況としては、別途保存していたサイトの管理システムのソースコードに基づき、原因と思われる脆弱性の改修を実施したという。リスクの最小化の観点から、当該システムを構成する各システム間の接続情報一式を無効化および更新し、その他必要なセキュリティ強化策を講じたとのことだ。
公式サイトは10月23日よりメンテナンスのため一時閉鎖中。再開時期については、安全が確認でき次第、改めてアナウンスされる見通しだ。また、漏えいされた情報が悪用される可能性についても、注意喚起を呼び掛けている。
