【世界】グッドスマイルカンパニーのカード情報流出、英語の通知で海外客にも連絡。Redditの告知スレは288票

グッドスマイルカンパニー、決済ページに不正プログラム。カード全情報の漏えい可能性は2,800名

フィギュアメーカーのグッドスマイルカンパニーは10月30日、公式ショップ「グッドスマイルカンパニー公式ショップ」への不正アクセスについて第4報を公表しました。10月21日13時55分から23日7時までの間、クレジットカード決済ページに不正なプログラムが置かれていたことが分かっています。

この間に決済ページへカード情報を入力した可能性のある客は2,800名です。漏えいした可能性があるのは、名義人名、カード番号の全16桁、有効期限、セキュリティコードの4項目です。このうち実際にカード決済で注文した客は384名、予約後にカード情報を変更した客は185名でした。

これとは別に、ショップにカードを登録していた客のカード番号下4桁と有効期限も漏えいした可能性があり、対象は重複を除いて402,466枚にのぼります。同社によると、名義人名とセキュリティコードはこちらには含まれていません。

同社が不正アクセスに気づいたのは10月23日早朝で、委託先からの連絡がきっかけでした。サイトは同日7時に閉鎖され、11月1日時点でも再開時期は決まっていません。原因はシステムの一部にあった脆弱性で、管理者権限を不正に取得されたと説明しています。

公式は第4報で注文情報の数字を訂正。海外報道には訂正前の「7,673人」が残る

出典：不正アクセスによるお客様情報流出の可能性について（第4報）（グッドスマイルカンパニー / 2026年10月30日）

出典：Good Smile Company reports potential leak of full credit card information of 2,800 customers in major data breach（AUTOMATON WEST / 2026年10月29日）

These stores operate on separate systems from the Good Smile Company Online Store, where the unauthorized access occurred

引用は同社の英語版FAQの一文で、「（米国・欧州・英国の）各ストアは不正アクセスのあった公式ショップとは別のシステムで運営されている」という意味です。

注文情報については、10月30日の第4報で数字が直されました。第3報では「10月22日22時20分ごろから23時前までに注文した7,673名」とされていましたが、修正後は「出荷処理が済んでいない注文7,774件（5,356名分）のうち、閲覧された可能性があるのは最大202件」です。どの202件かは特定できないため、同社は5,356名全員にメールで連絡しました。

英語圏では、10月29日付のAnime News Networkの記事が訂正前の「7,673人」を伝えています。海外の記事を読んだ人は、公式の最新の報で数字を確かめたほうが確実です。

英語の通知が届いたのは公式ショップの海外客。米国・欧州・英国の通販は別システム

今回狙われた公式ショップは日本語と英語の両方で運営されており、海外から注文するファンも多く使っています。同社は日本語と同じ内容の英語版の通知・FAQを出し、対象の客には英語でも個別のメールを送りました。

一方で、英語版FAQは「Good Smile Company US」「Good Smile Company Europe Online Shop」「Good Smile Company Europe」「Good Smile Company UK」の4サイトでの購入は対象外だと明記しています。日本向けでも、楽天市場店と「ねんどろいどフェイスメーカー」は別システムのため影響はないとしています。

決済手段についても、同社はPayPalとAmazon Payで処理された決済情報の漏えいは確認されていないと説明しています。ただし、出荷前の注文情報は決済方法に関係なく閲覧の対象になりえます。

海外Redditの告知スレは288票。「なぜ全桁を保持していたのか」と「PayPalなら安全か」

英語圏のファンの反応は、11月1日6時台（日本時間）に確認した時点で次のとおりです。

• r/Hololive の注意喚起スレッド：288票・35コメント。最も票を集めた返信（99票）は、第3報でカード全情報の漏えいが判明したことを伝え、該当期間に使った人はカードを止めるよう呼びかけていました。
• r/japan の記事共有スレッド：128票・21コメント。「なぜカード番号を全桁保存しているのか」という疑問に14票が付いていました。
• r/AnimeFigures の告知スレッド：89票・25コメント。投稿者は公式ショップから通知メールを受け取ったと書いています。最多の42票を集めたのは「PayPal情報は保持していないので、1回の事故で使うのをやめる必要はない」という冷静な意見でした。

3つのスレッドを読んで印象的だったのは、怒りよりも「自分のカードは対象か」「何で払ったか」を確かめる声のほうが多かったことです。r/AnimeFiguresには、先週カードが不正利用されたという書き込みもありました。ただしこれは本人の申告で、今回の件との関係は確認されていません。

なお、公式発表が「全16桁」の漏えい可能性の原因として挙げているのは、決済ページに置かれた不正なプログラムです。同社がカード番号を全桁保存していたとは書かれていません。

海外ファンが多い公式ショップだからこそ、英語での続報が判断材料になる

今回の件で海外ファンに影響したのは、日本の公式ショップが英語でも直接販売していたためです。米国や欧州の現地サイトで買った人は対象外で、日本の公式ショップで買った人だけが当事者になります。同じ「グッドスマイル」の名前でも、どのサイトで買ったかで扱いが分かれます。

気になるのは対応の順番です。不正アクセスの判明から1週間がたった第4報の時点でも、カード会社と決済代行会社への報告は「今後進める」段階にとどまり、402,466枚分の一部情報については対象の人数がまだ確認中でした。注文情報の数字も第4報で訂正されています。

海外のファンは日本語の続報を追いにくく、英語版の通知と英語圏の報道が頼りです。ショップ再開の時期とあわせて、英語版の通知がどこまで早く正確に更新されるかが、海外の利用者にとって次の判断材料になると受け止めました。