グッドスマイル公式ショップ、2800人のカード番号全16桁とセキュリティコードが漏えいか

決済ページに不正なプログラムが仕込まれていたのは、10月21日13時55分から、サイトを閉じた23日7時までの約41時間。グッドスマイルカンパニーは10月29日に出した第3報で、この間に「グッドスマイルカンパニー公式ショップ」のクレジットカード決済ページへカード情報を入力した可能性のある2,800名について、カード番号の全桁とセキュリティコードまで漏れたおそれがあると明らかにした。第2報までの説明から一部が変わる内容で、同社は案内が変わったことについても改めて謝っているにゃ。

経緯をたどると、まず10月23日午前6時過ぎに、サイトのシステム開発・保守を任されていた委託先から連絡が入った。19日15時過ぎから22日23時前にかけて第三者に入り込まれていたことが分かり、23日午前7時にショップを閉鎖している。原因は、サイトのシステムの一部にあった脆弱性を突かれて管理者権限を奪われたこととされ、同社は「近時報告されたPHP脆弱性ではない」とも書き添えた。

決済ページへの不正なプログラムの設置が判明したのは、そのあとの10月28日18時30分過ぎ。会員情報が見られただけでなく、入力されたカード情報そのものを抜き取られた可能性が出てきたことで、被害の性質ががらりと変わったことになる。対象者には29日の早朝にメールで連絡が届いていて、お知らせの掲載はそれより後だった。そのあいだの時間差についても、同社はおわびしている。

第3報が挙げた漏えいの可能性は、どの情報がどれだけの人に及ぶかで3通りに分かれている。

いちばん深刻なのは最初の2,800名だね。カードの表裏に書かれている情報がひと通りそろってしまうので、そのまま不正利用につながりうる。

40万枚を超える2つ目の層については、名義人名とセキュリティコードの漏えいは確認されておらず、カードにひも付く会員情報も漏れていないと説明されている。3つ目の注文情報は、実際に不正に閲覧された注文は202件。ただ、どの注文が見られたのかを特定しきれないため、閲覧できる状態にあった7,673件の注文者全員を対象として数えているという。

グッスマ流出2,800名は4つの層に分かれる

2,800名の中身は、決済ページで何をしたかで4つに分けて示されている。公式発表では次のとおり。

①クレジットカード決済にてご注文いただいたお客様384名 ②クレジットカード決済を試みたが決済完了まで至らなかったお客様 ③本サイトにログインし、カートに商品を入れたが決済手続に進まなかったお客様 ④ご予約後、決済に用いたクレジットカード情報について変更手続をいただいたお客様185名

（グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第3報）」より）

人数が出ているのは①と④だけ。カードを打ち込んでいない③の人まで含めているのは、サイトに操作の記録が残っておらず、②と③を見分けられないからだ。同社も③については漏えいは起きていないと考えているものの、取りこぼさないよう該当する可能性のある全員に個別のメールを送っている。

この4つのほかに、もうひと通りの人が漏れている可能性がある。注文したあとに決済用のカード情報を変えようとして、手続きを終えられなかった人だ。こちらも記録が無いため同社からは特定できず、心当たりのある人は自分で注意事項を確認してほしいとしている。メールが来ていないから大丈夫、とは言い切れないにゃ。

明細を確認し、不審なメールやSMSは開かない

カード情報の漏えいについてメールを受け取った人には、身に覚えのない利用履歴がないかを確かめ、あればすぐにカード裏面に書かれた発行会社へ連絡するよう求めている。あわせて、漏れた情報を使って同社や公的機関、金融機関を名乗るメール・電話・SMSが来るおそれがあるとして、知らない送り主からの連絡には応じず、リンクも開かないよう呼びかけた。

再発防止策としては、別に保存していた管理システムのソースコードをもとに原因とみられる脆弱性を直し、システム間の接続情報を一式無効にして更新したという。個人情報保護委員会への報告は済んでおり、カード会社と決済代行会社への報告はこれから進める段階だ。

ショップの再開は、安全が確認でき次第あらためて知らせるとしている。閉鎖中も、すでに受け付けた10月発送予定の注文や予約商品は順次出荷されている。予約注文の決済エラーの案内が届いたのに再決済できない人や、退会したい人は、ショップとは別のシステムで動いている問い合わせフォームから受け付けてもらえる。決済エラーで予約が自動的にキャンセルされることはないそうだ。

10月23日の第1報から6日たって、漏えいの可能性は「閲覧された会員情報」から「入力されたカード番号の全桁」まで広がった。