2026年10月29日、フィギュアメーカー大手のグッドスマイルカンパニー（通称：グッスマ）が、公式オンラインショップへの不正アクセスにより、クレジットカード情報が漏洩した可能性を発表しました。
問題となっているのはカード番号の一部だけではありません。対象者によっては、カード番号の全16桁に加えて、有効期限やセキュリティコードまで流出した可能性があるというのです。
「ねんどろいど」などでおなじみの人気メーカーだけに、普段から公式ショップを利用しているファンにとっては見過ごせないニュースでしょう。
しかし、ここで気になることがあります。
最近、個人情報流出や不正アクセスのニュースが多すぎませんか？
GMOインターネット、カプコン、ソースネクスト、焼肉きんぐ、So-netなど、2026年10月だけでも大手企業による情報漏洩の発表が相次いでいます。
これは単なる偶然なのでしょうか。それとも、企業のセキュリティを取り巻く環境に何か大きな変化が起きているのでしょうか。
今回はグッドスマイルカンパニーの事件を整理しながら、なぜ2026年になって不正アクセスや個人情報流出がこれほど目立つようになったのかを解説します。
グッドスマイルカンパニーの不正アクセスで何が起きたのか
公式オンラインショップが不正アクセスを受けて閉鎖
グッドスマイルカンパニーは、フィギュアや玩具などの企画・製造・販売を手がける日本の企業です。「ねんどろいど」をはじめ、アニメやゲームに関連した商品を数多く展開しています。
事件が発覚したのは2026年10月23日。公式ショップのシステム開発・保守を担当する委託先事業者から連絡があり、第三者による不正アクセスが判明しました。
調査によると、10月19日15時過ぎから22日23時前にかけて不正アクセスが発生し、サイト内のお客様情報が複数回閲覧されていたとのことです。
同社は10月23日午前7時に公式ショップを閉鎖し、調査と対策を開始しました。
その後、10月26日に第2報、10月29日に第3報が発表され、被害の詳細が明らかになっていきます。
特に衝撃が大きかったのが、10月29日の第3報で新たに判明したクレジットカード情報の漏洩リスクです。
クレジットカード情報の全16桁とセキュリティコードも対象に
当初の発表では、漏洩した可能性のあるカード情報は番号の下4桁と有効期限などとされていました。
ところが追加調査により、10月21日13時55分から23日午前7時まで、公式ショップのクレジットカード決済ページに不正なプログラムが設置されていたことが判明します。
この期間にカード情報を入力した可能性のある約2,800人について、カード情報の全体が漏洩した可能性があるというのです。
10月29日時点で公表された被害範囲を整理すると、次のようになります。
| 対象 | 漏洩した可能性のある情報 |
|---|---|
| 約2,800人 | カード名義人名、番号全16桁、有効期限、セキュリティコード |
| 約40万2,466枚 | 過去登録カードの番号下4桁、有効期限 |
| 約7,673人 | 氏名、住所、電話番号、メールアドレス、注文内容、金額、決済方法など |
※各区分は重複する可能性があります。また、2,800人は全員についてカード情報の漏洩が確認された人数ではなく、漏洩の可能性を否定できない対象者数です。40万2,466は人数ではなくカード枚数です。
ここで特に注意したいのが、約2,800人という数字の意味です。
この対象者には、実際にカード決済で注文した384人、予約後にカード情報を変更した185人のほか、決済が完了しなかった人やカートに商品を入れただけの人も含まれています。
つまり、買い物が成立していなくても、カード情報が漏洩した可能性があるということです。
一方、カートに商品を入れただけで決済画面に進んでいない場合、カード情報自体は漏洩していないと会社側は考えています。しかし、操作記録から対象者を完全に区別できないため、広い範囲に個別連絡を行っています。
また、カード情報の変更を試みたものの手続きが完了しなかった人についても、漏洩の可能性があるとしています。
注文情報は202件が不正に閲覧された
カード情報とは別に、顧客の注文情報についても被害が確認されています。
10月22日22時20分前ごろから23時前ごろまでの間に、202件の注文情報が不正に閲覧されたとのことです。
ただし、具体的にどの注文情報が閲覧されたのかを完全には特定できていません。
そのため、閲覧された可能性のある注文に関係する約7,673人を対象として、個人情報が漏洩した可能性があると案内しています。
住所や電話番号だけでなく、注文した商品名や金額なども対象となっています。趣味に関する購入履歴を他人に知られること自体、抵抗を感じる人もいるでしょう。
なお、外部決済サービスであるAmazon PayやPayPalについては、グッドスマイルカンパニー側のサーバーにカード情報を保持していないと説明されています。
また、「ねんどろいどフェイスメーカー」や楽天市場店は別のシステムで運営されており、今回の不正アクセスによる影響はないとのことです。
グッドスマイルカンパニーの情報漏洩の原因
システムの弱点を悪用され管理者権限を取得された
グッドスマイルカンパニーは今回の原因について、システムの一部に存在する脆弱性が悪用され、管理者権限が不正に取得されたものと認識していると説明しています。
脆弱性とは、簡単にいえばシステムに存在するセキュリティ上の弱点です。
通常、オンラインショップでは顧客が利用できる機能と、運営会社が利用できる管理機能が分けられています。
しかし今回は、その弱点を悪用され、管理者に与えられる権限を不正に取得されたとみられています。
さらに決済ページには、不正なプログラムが設置されていました。
こうした仕組みを悪用すると、利用者が正規のサイトにカード情報を入力しているつもりでも、その情報が第三者に取得される可能性があります。
つまり、利用者が偽サイトに誘導されなくても、正規サイト自体が攻撃されていれば情報が盗まれる場合があるということです。
ただし、今回の不正プログラムの具体的な動作や、情報がどこまで外部に送信されたのかについては、10月29日時点の公表情報だけでは完全にはわかりません。
また、同社は原因とみられる脆弱性について、最近報告されたPHPの脆弱性ではないと明言しています。
すでに原因とみられる弱点の修正やシステム間の接続情報の更新などを実施しており、公式ショップの再開時期については安全性を確認してから発表する方針です。
情報漏洩によって考えられる具体的な被害
クレジットカードの不正利用
今回、最も注意が必要なのは、カード番号全16桁、有効期限、セキュリティコードなどが漏洩した可能性のある人です。
これらの情報は、オンライン決済で使用される重要な情報です。第三者が入手した場合、カードの不正利用を試みる可能性があります。
もちろん、現在は本人認証などの対策を導入している決済サービスもあり、情報が漏れたからといって必ず不正決済が成立するわけではありません。
しかし、だからといって安心できるわけでもありません。
なお、今回漏洩の可能性が発表されたことと、実際にカードの不正利用が発生したことは別の話です。
10月29日時点の同社第3報では、不正アクセスや情報漏洩の可能性について説明されていますが、カード不正利用の被害人数や被害金額については明らかにされていません。
個人情報を悪用した詐欺
カード情報以外についても注意が必要です。
例えば氏名、住所、電話番号、メールアドレス、注文内容などが第三者に知られた場合、それらの情報を利用した詐欺につながる可能性があります。
特に厄介なのは、実際の注文内容を把握したうえで、企業の関係者になりすます手口です。
「ご注文の商品について決済に問題が発生しました」
「情報漏洩に伴う返金手続きが必要です」
このような連絡が届き、実際に注文した商品名まで書かれていたら、信用してしまう人もいるのではないでしょうか。
もちろん、これらは想定される詐欺の例であり、今回実際に発生したと確認されたものではありません。
ただ、一度漏洩した個人情報は、原因となったシステムを修正しても取り戻せるとは限りません。
情報漏洩が長期的な問題となるのは、このためです。
グッドスマイルカンパニーの情報漏洩に対するネットの反応
今回の発表を受け、Xでも利用者から不安や困惑の声が投稿されています。
特に目立つのが、過去に公式ショップを利用した人や、カード情報の漏洩対象に該当する可能性がある人からの反応です。
公開されている投稿では、次のような話題が確認できます。
カード情報の全項目が対象となったことへの不安
当初はカード番号の下4桁などが対象と案内されていたため、全16桁やセキュリティコードまで漏洩した可能性があるという続報に驚く投稿が見られます。
一部には、実際に会社からメールが届いたことや、今後のカード利用が心配だという内容もあります。
カードの再発行を検討したり、すでに停止したとする投稿も確認できます。
自分が対象者なのかわからないという声
今回の情報漏洩では、カード決済を完了した人だけが対象ではありません。
そのため、以前購入した商品は対象なのか、登録カードはどうなるのか、どのメールを確認すればよいのかといった疑問も見られます。
実際、今回のように複数の情報漏洩の区分が存在すると、利用者側が被害の範囲を判断するのは簡単ではありません。
公式ショップへの信頼を心配する反応
今後も公式ショップを利用してよいのか不安だという投稿も確認できます。
一方で、今回の事件は第三者による攻撃であり、企業側だけを一方的に責めるべきではないという趣旨の反応も見られます。
ただし、顧客から情報を預かる以上、企業には適切に管理する責任があります。
攻撃者が悪いことと、運営側に再発防止が求められることは、両立する話でしょう。
なお、これらは確認できた公開投稿の傾向をまとめたものであり、SNS利用者全体の意見を統計的に示すものではありません。
2026年は不正アクセスと個人情報流出が相次いでいる
さて、今回のグッドスマイルカンパニーの件を調べていると、どうしても気になることがあります。
2026年、特に9月から10月にかけて、不正アクセスのニュースがあまりにも多いのではないでしょうか。
実際、グッドスマイルカンパニー以外にも、大規模な情報漏洩が次々と公表されています。
2026年10月に公表された主な不正アクセス事例
| 企業・サービス | 公表日 | 被害規模・影響範囲 |
|---|---|---|
| 焼肉きんぐ | 10月5日 | 公式アプリ会員情報約1,079万件が漏洩 |
| skyticket | 10月9日 | 一部サーバーへの攻撃で約1,464万件の顧客情報が流出、または流出の恐れ |
| ソースネクスト | 10月15日 | 約2,252万件の個人情報が流出した可能性 |
| GMOインターネット | 10月21日 | お名前.com デスクトップクラウドの最大2万6,739サーバーに影響の可能性 |
| カプコン | 10月22日 | CAPCOM IDの約1,177万件の情報が漏洩 |
| So-net | 10月27日 | 会員データベースから最大約258.6万件が漏洩した可能性 |
| グッドスマイルカンパニー | 10月23日・29日 | カード情報全体で約2,800人、過去登録カードの一部情報で約40万枚などに漏洩の可能性 |
※各社の2026年10月29日までの公表情報に基づきます。件数にはアカウント数、情報の件数、カード枚数、サーバー数など異なる単位が含まれます。すべてが被害確定人数を示すものではありません。
これだけ大手企業の名前が並ぶと、特定の業界だけの問題ではないことがわかります。
フィギュア、ゲーム、旅行、飲食、通信、ソフトウェア、クラウドサービスと、業種はさまざまです。
しかも、これは10月に発表された事例の一部にすぎません。
GMOインターネットでは約80億円の身代金を要求される
特に大きな話題となったのが、GMOインターネットの事件です。
2026年10月、FXなどの取引に利用される「お名前.com デスクトップクラウド」が不正アクセスを受けました。
同社によると、最大2万6,739件のサーバーに影響の可能性があり、保存されていた取引口座のログイン情報などが悪用される恐れがあるとされています。
ここでいう2万6,739件は影響を受けた可能性のあるサーバー数であり、そのすべてが不正に操作されたと確認されたわけではありません。
さらに攻撃者とみられる相手からは、約80億円に相当する金銭を要求する脅迫があったと発表されています。
10月27日には顧客に関係すると思われる情報の公開も確認されました。
GMO側は金銭の要求には応じない方針を示し、10月28日には攻撃者側の情報公開サイトのドメインが停止されたことを公表しています。
10月29日には、犯人の特定につながると考えられる情報を入手したことも発表しました。
一連の対応を見ても、今回の事件が単なる一時的なシステム障害ではないことがわかります。
ただし、GMOとグッドスマイルカンパニーの事件が同じ攻撃者によるものという情報は確認されていません。
大規模な情報漏洩は実際に増えている
ここまで読んで、「ニュースになる件数が増えただけでは？」と思った方もいるかもしれません。
しかし、実際に大規模な個人情報漏洩が増えていることを示す調査もあります。
東京商工リサーチが2026年10月7日に公表した調査では、上場企業とその子会社による個人情報の漏洩・紛失事故を分析しています。
その結果、100万件以上の情報漏洩事故は、2025年の年間6件に対し、2026年は10月5日時点ですでに10件確認されていました。
さらに、1,000万件以上の大規模漏洩についても、2025年までの14年間で3回だったものが、2026年には10月5日時点ですでに3回発生したとしています。
100万件以上の情報漏洩事故
| 年 | 件数 |
|---|---|
| 2025年（年間） | 6件 |
| 2026年（10月5日時点） | 10件 |
※東京商工リサーチの集計対象は上場企業とその子会社です。国内企業すべての事故件数を示すものではありません。
少なくとも、この調査の対象範囲では、大規模な情報漏洩事故が増加していることは確かです。
なぜ最近、不正アクセスがこれほど多いのか
では、本題です。
なぜ2026年になって不正アクセスや個人情報漏洩の発表が相次いでいるのでしょうか。
結論からいえば、一つの原因ですべての事件を説明することはできません。
ただし、セキュリティ関連機関の調査から、近年の攻撃に共通して見られる特徴はいくつか確認されています。
原因1：AIによって攻撃の効率が上がっている
最近の不正アクセスを考えるうえで、無視できない存在が生成AIです。
AIは文章作成やプログラミングの補助などに利用されていますが、同じ技術を悪用する攻撃者も存在します。
従来、システムの弱点を探すには、対象の仕組みを調査したり、攻撃可能な場所を探したりする作業が必要でした。
現在は、そうした作業の一部をAIによって効率化できるようになっています。
2026年10月23日、国内のセキュリティ対応を支援するJPCERT/CCは、AIを利用した侵入試験用の仕組みが攻撃に悪用されていることを注意喚起に追加しました。
本来はシステムの安全性を確認する目的で使われる技術でも、悪用されれば攻撃のための調査に利用されてしまいます。
また、情報通信研究機構（NICT）も10月13日、公開されているスマートフォンアプリを解析し、その裏側のサーバーを攻撃する手法について注意を呼びかけています。
AIの活用によってアプリの解析や弱点の探索が効率化され、より多くのシステムが攻撃対象になる可能性があるというのです。
ただし、ここは誤解しないようにしたいところです。
AIが攻撃に使われた事例は確認されていますが、2026年に発生したすべての情報漏洩がAIによるものではありません。
今回のグッドスマイルカンパニーの事件についても、AIが使われたという情報は公表されていません。
原因2：企業のシステムに残された弱点が狙われている
もう一つの要因が、企業のシステムに存在する脆弱性や設定の不備です。
JPCERT/CCは2026年10月8日、国内企業で相次ぐ不正アクセスについて注意喚起を公表しました。
その中では、攻撃者がさまざまなシステムの既知の弱点を調査し、侵入できる対象を探している可能性が指摘されています。
興味深いのは、一つの共通した弱点だけが攻撃されているわけではないという点です。
企業ごとに異なるシステムの弱点を探し、それぞれに応じた攻撃を試みている可能性があるのです。
また、スマートフォンアプリとサーバーが情報をやり取りする仕組みである「API」も攻撃対象となっています。
普段、利用者はアプリの画面を操作していますが、その裏側ではサーバーとの通信が行われています。
この通信の仕組みに不備があると、本来できないはずの操作を第三者に実行される恐れがあります。
特に、管理者だけが利用できる機能に適切な制限が設けられていなければ、大量の顧客情報が被害に遭う可能性があります。
今回のグッドスマイルカンパニーでも、システムの脆弱性を悪用されて管理者権限が不正に取得されたと説明されています。
もっとも、同社の事件がAPIを悪用したものかどうかは明らかになっていません。
原因3：一つのシステムに大量の個人情報が集まっている
今回の事件を調べていて気になるのが、漏洩する個人情報の件数です。
数万件どころか、数百万件、数千万件という事例が珍しくなくなっています。
企業の会員サービスや公式アプリには、膨大な顧客情報が蓄積されています。
利用者にとっては、会員登録しておけば毎回住所を入力する必要がなく、購入履歴や予約情報も簡単に確認できるため便利です。
しかし、こうした仕組みは大量の情報を管理することにもつながります。
システムが攻撃されれば、保存されている情報が一度に被害を受ける可能性があります。
便利な会員サービスが普及した一方で、企業が管理する個人情報の重要性も高まっていると考えられます。
ただし、今回の一連の事件について、企業が保有するデータ量の増加が事故件数の増加にどれほど影響したかは、確認できる統計がありません。
ここは情報漏洩が大規模化する背景として考えられる要因であり、事故の直接原因と断定できるものではありません。
原因4：委託先や外部サービスも含めた管理が必要になっている
現在、多くの企業はウェブサイトやアプリの開発、システムの管理などを外部事業者と協力して行っています。
このような構造では、自社のシステムだけでなく、委託先や利用している外部サービスも含めて安全性を考えなければなりません。
一つのサービスに複数の企業が依存している場合、そのサービスへの攻撃が広い範囲に影響することもあります。
ただし、グッドスマイルカンパニーの件では、システム開発・保守の委託先からの連絡によって事件が発覚したと説明されているだけです。
委託先が攻撃の侵入経路になったと確認されたわけではありません。
この二つは分けて考える必要があります。
原因5：情報漏洩の公表が目立つようになっている可能性
もう一つ考えられるのが、情報漏洩に対する社会的な関心と公表の影響です。
現在は企業が事故を公表すると、ニュースサイトやSNSを通じて瞬く間に情報が広がります。
また、個人情報保護法では、一定の要件に該当する情報漏洩などについて、個人情報保護委員会への報告や本人への通知が義務付けられています。
そのため、以前より事故が目につきやすくなっている可能性もあります。
ただし、公表制度や検知能力の変化だけで2026年の増加を説明できるかどうかは、現時点ではわかりません。
少なくとも東京商工リサーチの調査では、実際に大規模な漏洩事故の公表件数が増加しています。
したがって、単純に「昔から同じくらい起きていたけれど、ニュースにならなかっただけ」と片付けることもできないでしょう。
不正アクセスの増加に企業は対応できているのか
2026年10月の事件に共通する特徴として、顧客向けのサービスだけでなく、会員管理システムや社内向けの管理機能などが攻撃されていることが挙げられます。
JPCERT/CCも、一般利用者が直接操作する画面だけでなく、管理・運用用のシステムについても点検が必要だと警告しています。
これまでも企業はセキュリティ対策を行ってきましたが、攻撃手法が変化すれば、それに応じて対策を見直す必要があります。
また、攻撃を完全に防ぐことだけでなく、侵入された場合に被害を広げない仕組みも重要になります。
例えば、管理者権限を必要最小限に制限すること、不要な情報を長期間保存しないこと、異常なアクセスを早期に発見できることなどです。
企業側の安全対策について考えると、気になるのは「情報を守ること」だけではありません。
そもそも、それほど大量の個人情報を保有し続ける必要があるのかという問題もあります。
会員登録の便利さと個人情報の安全性をどう両立させるか。今後、サービスを提供する企業には、これまで以上に慎重な判断が求められるでしょう。
グッドスマイルカンパニーの利用者が今すぐ確認すべきこと
今回の事件では、利用状況によって必要な対応が異なります。
カード情報全体が漏洩した可能性のある人
まず、2026年10月21日13時55分から23日午前7時までの間に、公式ショップでカード情報を入力した人は注意が必要です。
対象となる可能性がある人には、グッドスマイルカンパニーから個別にメールが送られています。
まずはメールの内容を確認し、カード会社の公式アプリや会員ページなどから、身に覚えのない決済がないか調べましょう。
カード番号全16桁やセキュリティコードが漏洩した可能性がある場合は、不正利用が確認されていなくても、カード発行会社に利用停止や再発行の必要性を相談することをおすすめします。
なお、これは被害の可能性を踏まえた予防的な提案です。グッドスマイルカンパニーの第3報では、個別メールを受け取った利用者に対して利用履歴の確認を求め、不審な履歴があった場合はカード会社に連絡するよう案内しています。
過去にカードを登録したことがある人
過去にカード情報を登録していた場合は、カード番号の下4桁と有効期限が漏洩した可能性があります。
この区分については、カード名義人名やセキュリティコードの漏洩は確認されていません。
ただし、同時期にカード情報の入力や変更手続きをしていた場合には、別の区分にも該当する可能性があります。
したがって、過去登録カードの情報だけが対象なのか、決済ページで入力した情報も対象なのかを確認することが重要です。
公式ショップに会員登録している人
カード情報の漏洩対象ではなくても、個人情報を悪用した不審なメールやSMSなどには注意が必要です。
特に「情報漏洩の補償」「再決済」「アカウントの確認」などを理由に、カード番号やパスワードを入力させようとする連絡には警戒してください。
公式からの連絡を装った偽メールの可能性もあるため、届いたメッセージ内のリンクを安易に開かず、公式の案内を自分で確認することをおすすめします。
また、ほかのサービスと同じパスワードを使い回している場合は、それぞれ異なるパスワードに変更し、多要素認証を利用することも有効です。
なお、グッドスマイルカンパニーの今回の第3報では、ログインパスワードの漏洩が確認されたとは発表されていません。パスワードの使い回し対策は、一般的な不正ログイン防止策として紹介しています。
予約済み商品の発送や退会手続き
公式ショップは現在閉鎖されていますが、10月発送予定の注文や予約商品については順次発送を進めているとのことです。
また、決済エラーが発生して再決済できない場合でも、注文が自動的にキャンセルされることはないと案内されています。
退会手続きについても、別システムで運用されているカスタマーサポートの問い合わせフォームから受け付けています。
ただし、退会すれば今回漏洩した可能性のある情報が回収されるわけではありません。
退会は今後の利用や情報管理に関する手続きであり、すでに発生した情報漏洩への対処とは分けて考える必要があります。
まとめ：不正アクセスはもはや一部の企業だけの問題ではない
グッドスマイルカンパニーの不正アクセス事件では、カード情報全体が漏洩した可能性のある約2,800人をはじめ、多くの利用者が影響を受ける恐れがあります。
そして今回の問題は、決してグッドスマイルカンパニーだけに限った話ではありません。
2026年には国内で大規模な個人情報漏洩が相次ぎ、JPCERT/CCも注意喚起を公表する事態となっています。
背景には、システムの脆弱性を狙う攻撃、AIを利用した攻撃の効率化、管理機能の安全性など、複数の問題があります。
ただし、それらが今回の事件すべてに当てはまるわけではなく、各社の侵入経路や原因については引き続き調査が必要です。
利用者としてできることには限界があります。
パスワードを使い回さない、不審なメールを開かない、カード利用履歴を確認するといった対策は重要ですが、正規サイトのシステム自体が攻撃されてしまえば、利用者の注意だけで防ぐことは困難です。
だからこそ、企業側の情報管理と再発防止が欠かせません。
そして今回の一連の事件を通じて、もう一つ考えたいことがあります。
私たちは、いったい何社のサービスに、どれほどの個人情報を預けているのでしょうか。
使わなくなった通販サイト、何年も開いていない会員ページ、ポイント目当てで登録した公式アプリ。
それらのすべてを把握している人は、そう多くないのではないでしょうか。
企業の安全対策が重要なのはもちろんですが、利用者自身も、必要のない会員登録や保存情報を見直す時期に来ているのかもしれません。
おススメ商品
こちら、私が長年使ってるおすすめ商品です。
手に取りやすい価格で十分な音質・ノイズキャンセリング・バッテリー↓↓
AnkerのこのモバイルバッテリーはPSE技術基準に適合。
安心して使いやすい定番品です。↓↓
箱買いして家に常備しておけば、特茶を気兼ねなく飲めます。
QOLが上がります。ガチです。↓↓
気になる話題を音声で楽しむならAudible
Audibleは、本を音声で楽しめるAmazonのオーディオブックサービスです。
小説、教養書、ビジネス書、エッセイなど幅広い作品があり、通勤中や散歩中、家事中にも利用しやすいのが特徴です。
ニュースや雑学を読んだあとに、「もう少し深く知りたい」と思ったテーマを音声で楽しめるのは、Audibleならではの使いやすさです。
無料体験が用意されている場合もあるため、気になる方は確認してみてください。
