トップ ＞ テクノロジー

グッスマ直販サイトのカード情報漏えい、全16桁など被害の中身を整理

内容

グッドスマイルカンパニーの直販サイトが不正アクセスを受け、同社は10月23日午前7時にサイトを閉鎖しました。原因と思われる脆弱性はすでに改修したと説明しています。この記事では、どのような情報が漏えいした可能性があるのかを中心に整理します。

何が起きたのか

システムの開発・保守を委託していた事業者から不正アクセスの連絡があり、同社が調べたところ、顧客情報が複数回閲覧されていたことが分かりました。さらに10月21日午後1時55分から23日午前7時まで、カード決済ページに不正なプログラムが仕掛けられていたことも判明しました。

同社は、システムの一部にあった脆弱性を悪用されて管理者権限を不正に取得されたことが原因とみています。この脆弱性は、最近報告されたPHPの脆弱性とは別のものだとしています。

カード番号全16桁とセキュリティコード：2800人

最も深刻なのは、不正プログラムが設置されていた期間に決済ページでカード情報を入力した可能性がある2800人です。カード名義人名、カード番号の全16桁、有効期限、セキュリティコードが漏えいした可能性があります。

この2800人には、実際には漏えいしていないと同社が考えている顧客も含まれています。システムに操作の記録が残っておらず対象者を区別できないため、まとめて漏えいの可能性がある対象として扱い、個別に連絡したとしています。

このほか、注文後に決済カードの変更を試み、手続きが完了しなかった顧客も漏えいの可能性があります。ただし、操作の記録がないため対象者は特定できていません。

カード番号下4桁と有効期限：40万2466枚

サイトにカード情報を登録したことがある顧客については、カード番号の下4桁と有効期限が漏えいした可能性があります。対象は重複を除いて40万2466枚で、人数は現在も確認中です。これらのカードでは、名義人名、セキュリティコード、カードにひも付く会員登録情報の漏えいは確認されていないとしています。

注文情報：7673人

10月22日午後10時20分前ごろから11時前ごろまでに注文した7673人については、配送先または請求先の氏名・住所・電話番号、メールアドレス、注文内容、金額、決済方法が漏えいした可能性があります。実際に不正に閲覧された注文は202件ですが、どの注文が閲覧されたのかをシステム上で完全には特定できないため、この時間帯の注文すべてを対象にしています。

当初の発表から何が変わったのか

26日までの報告では、カード番号は下4桁のみ流出した可能性があると説明しており、対象人数も明らかにしていませんでした。その後の調査で、カード番号の全桁が流出した可能性がある顧客がいることが分かりました。

自分が対象かどうか、どうすればよいか

2800人の対象者には同社が個別に連絡したとされています。40万枚分の対象者や、カード変更が完了しなかった顧客を確認する方法、利用者やカード会社が取るべき具体的な手順は、現時点で明らかになっていません。

注目ポイント

当初は下4桁だけとされていた流出範囲が、調査の進展でカード番号全16桁とセキュリティコードにまで広がった点に関心が集まっています。この組み合わせがそろうと、カードそのものの情報が外部に渡ったことになるためです。また、操作記録が残っていないために対象者を絞り込めず、特定できない利用者もいる点も焦点です。40万枚分の対象人数がまだ確定していないことから、今後の続報が注目されます。

参考記事

• グッスマ、顧客の2800人のカード番号全16桁+セキュリティコードなど流出か 下4桁は40万枚分(ITmedia NEWS)Yahoo!ニュース　2026年10月29日 14:58
• グッスマ、顧客の2800人のカード番号全16桁+セキュリティコードなど流出か 下4桁は40万枚分ITmedia　2026年10月29日 17:52

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。