グッドスマイルカンパニーは、「グッドスマイルカンパニー公式ショップ」への不正アクセスに関する第3報で、2,800名分のクレジットカード情報が漏えいした可能性があると発表しました。
◆不正アクセスの経緯と被害の概要
今回のグッドスマイルカンパニー漏えいについては、10月23日6時過ぎ、システム開発・保守委託先事業者からの連絡により、10月19日15時～10月22日23時前にかけて第三者による不正アクセスがあったことが報告されていました。
その対応として10月23日午前7時に公式ショップを閉鎖していましたが、その後の調査により、10月21日13時55分～10月23日7時までの間、クレジットカード決済ページに不正なプログラムが設置されていたことが明らかになりました。原因については、本サイトで使用していたシステムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得されたものと認識しているとしています。
また、その脆弱性は近時報告されたPHP脆弱性ではないとしています。
漏えいした可能性のある情報は以下のとおりです。
クレジットカード名義人名
クレジットカード番号（全16桁）
有効期限
セキュリティコード
対象となる可能性があるのは、不正プログラムが設置されていた期間（10月21日13時55分～23日7時）に、クレジットカード決済ページを利用した以下2,800名です。
①クレジットカード決済にてご注文した384名
②クレジットカード決済を試みたが完了に至らなかった人
③ログイン後にカートへ商品を入れたが決済手続に進まなかった人
④予約後にクレジットカード情報の変更手続を行った185名。
なお、③に該当する方ついてはクレジットカード情報の漏えいは発生していないと考えられるものの、システム上操作記録が保持されておらず②と③の区別ができないため、該当する可能性のある全てのお客様に個別でメール連絡を行っているとしています。
また、「注文後に決済カード情報の変更を試みたが完了しなかった人」についても漏えいの可能性があるとしていますが、同様にシステム上の記録がなく特定が困難な状況。同社は心当たりのある人に対し、公式サイト掲載の留意事項を確認するよう呼びかけています。
グッドスマイルカンパニーは「お客様に多大なるご迷惑とご心配をお掛けしていることを深くお詫び申し上げます」とコメントしています。
