グッスマ情報漏洩、「下4桁」から全16桁・セキュリティコードへ――ファンの信頼を揺るがす説明の落差

人気フィギュアメーカー、グッドスマイルカンパニーの公式ショップで起きた不正アクセス問題が、深刻さを増している。
同社が2026年10月29日に公表した第3報では、2,800人について、クレジットカード番号全16桁やセキュリティコードなどが漏洩した可能性が判明。
当初の「下4桁」という説明から、利用者が受け止める危険性は大きく変わった。
問われているのは情報管理だけではない。
不安を抱える利用者に、必要な説明が届いていたのかという問題だ。

ファンが頼る公式通販

グッドスマイルカンパニーは、フィギュアやキャラクターグッズの企画・制作・販売を手掛ける企業だ。
「グッスマ」の愛称で知られ、キャラクターをデフォルメした「ねんどろいど」やスケールフィギュア、模型シリーズ「MODEROID」などを展開している。
アニメやゲームのファンにとって、公式ショップは好きなキャラクターの商品を予約する窓口でもある。
公式限定特典を目当てに利用する人もおり、長期間にわたって予約商品の発売を待つ買い方も珍しくない。

その場所で、購入に使うカード情報や届け先の情報が危険にさらされた。
商品を安心して買えるはずの公式通販への信頼が、今回の問題で揺らいでいる。

漏洩対象は3つ

第3報では、漏洩した可能性がある情報を大きく3つに分けている。
対象人数やカード枚数だけが広まると、誰にどの危険があるのかを見誤りかねない。
最も深刻なのは、10月21日13時55分から23日7時までに、決済ページでカード情報を入力した可能性がある2,800人だ。
名義、番号全16桁、有効期限、セキュリティコードが対象となる。

ただし、全員の漏洩が確認されたわけではない。
操作記録から区別できず、カード情報を入力していないと考えられる、カートに商品を入れただけの利用者も含まれている。
別に、過去に登録されたカード402,466枚について、番号下4桁と有効期限が漏れた可能性がある。
この区分では名義やセキュリティコードの漏洩は確認されていない。

さらに、10月22日22時20分前ごろから23時前ごろまでに注文した7,673人について、氏名、住所、電話番号、メールアドレス、注文内容などが対象となった。
不正閲覧された注文は202件だが、完全には特定できず、閲覧された可能性のある注文全体を対象としている。

決済ページに盗む仕掛け

同社は、システムの一部にあった脆弱性を悪用され、管理者権限が不正に取得されたと説明する。
顧客情報が閲覧されたほか、決済ページには不正なプログラムが設置されていた。

発表内容からは、利用者が入力したカード情報を盗み取る仕組みだった可能性が考えられる。
セキュリティコードまで対象だからといって、同社がそれを保存していたとは断定できない。
入力段階で情報を盗まれれば、保存していなくても被害につながり得る。

一方、具体的にどの脆弱性が悪用され、なぜ決済ページの改ざんを防げなかったのかは、第3報では明らかにされていない。
同社は、近時報告されたPHPの脆弱性が原因ではないとしている。
操作記録の不足も問題だ。カード情報の変更を試みて完了しなかった利用者など、漏洩の可能性がありながら特定できないケースもある。
侵入を許したうえ、被害対象を十分に把握できない状況は、利用者の不安を長引かせる。

再発行の負担に怒り

SNSには「クレジットカードの再発行手数料は、御社が負担すべき」との投稿が寄せられている。
「退会します」「もうお宅で物は買いません。怖いです」と、今後の利用を拒む声も見られた。

カードの停止や再発行は、利用者にとって小さな手間ではない。
手続きに時間がかかるほか、継続的な支払いに登録したカード情報の変更が必要になる場合もある。
漏洩の可能性を知らされ、明細の確認まで求められる側に負担が集中することへの不満は理解できる。

投稿の中には、セキュリティコードを保管していたと決めつけるものもある。
批判を検証可能なものにするためにも、確認された事実と推測は分ける必要がある。
再発行費用などをどう扱うのかについては、第3報に具体的な説明はない。

説明の遅れが招いた混乱

10月23日の第1報と、26日に追記された第2報では、カード名義、下4桁以外の番号、セキュリティコードは対象外としていた。29日の第3報で、その説明が変わった。
ただし、同社によれば不正プログラムの設置が判明したのは28日18時30分過ぎだ。
調査で新事実が判明した経緯があり、以前から把握しながら隠していたと断定する根拠はない。
それでも、重大な情報を伝える手順には課題が残る。

同社は29日早朝に対象者へメールを送ったが、公式サイトへの掲載まで時間を要したとして謝罪した。
メールを受けて情報発信したという投稿者は、公式掲載に先行した結果、虚偽情報の拡散や偽計業務妨害だとする誹謗中傷を受けたと訴えている。
投稿者の説明によるものだが、会社からの案内を公に確認できない時間が、利用者間の混乱につながったことをうかがわせる。

なお、発送の継続や、再決済できない予約注文が自動キャンセルにならないことは、第2報ですでに案内されていた。
問われるのは、新たに判明した危険を、誰もが確認できる形で速やかに伝えられたかだ。
原因の具体的な説明、再発防止策、利用者の負担への対応。
その積み重ねがなければ、ショップを再開するだけでファンの信頼が戻るとは限らない。