グッドスマイルカンパニー公式ショップの不正アクセス（カード全情報の漏えいの可能性2,800名・カード一部402,466枚・注文情報は最大202件が閲覧の可能性）：カード情報と注文情報の対象者がやること

グループBは、カード名義人名、カード番号（全16桁）、有効期限、セキュリティコードが漏れた可能性があります。同社は、利用明細を確認し、身に覚えのない利用があればカード裏面に記載の発行会社へ連絡するよう求めています。あわせて、再発行を検討するよう案内しています。

当サイトも、まだ不正な請求がなくてもカード会社に番号の変更を相談することを勧めます。セキュリティコードまで漏れた可能性があり、番号を替えない限り、その組み合わせは使える状態のまま残るためです。再発行は本人がカード会社に申し込みます。同社は、再発行の手数料を利用者の負担にしないよう、カード会社に申し入れているとしています（11月3日に確認した時点で、カード会社側の結論は発表されていません）。

グループBには、次のような人が含まれます。

• 期間中にカード決済で注文した人（384名）
• 期間中に予約後の決済用カードの変更手続きをした人（185名）
• 決済を試みたが完了しなかった人
• ログインしてカートに入れたが決済に進まなかった人（同社は漏えいはなかったと考えているが、連絡の対象に含めている）

決済を試みて完了しなかった人と、カートに入れただけの人は、記録がなく区別できないと同社は説明しています。ほかに、注文後にカードの変更を試みて完了しなかった人も、漏えいの可能性がありますが、同社は該当者を特定できていません。心当たりがあれば、同社の公式サポートの案内にある留意事項を確認してください。

グループAは、過去に一度でも公式ショップにカード情報を登録した人です。漏れたのは、カード番号の下4桁と有効期限のみです。同社は、カード名義人名とセキュリティコードは漏えいしておらず、紐づく会員情報も漏えいしていないと説明しています。この情報だけで不正利用される可能性は極めて低いというのが、同社の認識です。

グループAは人数を確認している途中なので、個別のメールは送られていません。メールが来ないことは、対象外という意味ではありません。公式ショップにカードを登録した覚えがあるなら、利用明細を確認し、身に覚えのない請求があればカード会社に連絡してください。

グループCの項目は、お届け先とご請求先の名前、住所、電話番号、メールアドレス、注文内容、金額、決済方法の種別です。カード番号や口座の情報は含まれません。決済方法は問わず、PayPalやAmazon Payで払った人も、出荷前の注文であれば対象になりえます。

同社によれば、実際に閲覧された可能性があるのは最大202件ですが、どの注文かは特定できないため、5,356名全員にメールを送ったとしています。実際に見られたかどうかは、読者には分かりません。住所や注文内容が正しい「本物らしい連絡」が作れるので、次の手順の注意を守ってください。

同社は、同社・公的機関・金融機関を名乗る不審なメール、電話、SMSには対応せず、リンクを押さないよう呼びかけています。同社が挙げた例ではありませんが、当サイトの想定例として、お詫びの手続き、カードの再登録、再発行の費用の返金を名乗る連絡も考えられます。カード情報やパスワードを入力させる連絡は偽物と考え、確認は自分で開いた公式サイトで行ってください（見分け方は フィッシングとは）。

同社のメールかどうかを確かめるときは、メールのリンクではなく、同社の公式サポートの案内ページから確認します。

同社は、楽天市場店は別のシステムなので対象外としています。PayPalとAmazon Payの決済情報の漏えいは確認されていないとしています。ただし、出荷前の注文情報はグループCに当たる場合があります。問い合わせは、同社のカスタマーサポートのフォームから行います（別のシステムで運用されています）。

同社の発表では、不正アクセスが判明したのは10月23日、決済ページの不正プログラムの設置が判明したのは10月28日です。顧客情報の閲覧が確認されたあとで、別に決済ページへの設置が見つかっています。同社の対応の遅れを示す事実として読むべきではなく、情報の閲覧と決済ページの改ざんは別々に起きうることの例として読んでください。

管理者権限が取られたサイトでは、閲覧された情報の調査と並行して、決済ページが読み込むスクリプトの一覧を取り、本来のものと比べます。比べる元の一覧がないときは、まず今日の一覧を保存して、明日から差分を見ます。

同社は、原因と思われる脆弱性は近時報告されたPHPの脆弱性ではないとする、委託先の報告を公表しています。話題の脆弱性を直しただけで、「原因は塞いだ」と判断すると、別の入口が残ります。運営者は、ログで管理者権限の取得の経路を確かめるまで、他の入口も残っているものとして点検を続けます。

同社の対応には、システム間の接続情報一式の無効化と更新が含まれています。管理者権限を取られたときは、サイトの管理者アカウントだけでなく、決済代行会社やデータベース、外部サービスとつなぐための鍵やパスワードもまとめて替える必要があります。どこにどの接続情報があるかの一覧がないと、替え忘れが出ます。今日、一覧を作るところから始めてください。構築や運用を委託している場合は、委託先に一覧の提出を頼めるかを聞いてください（バックドアが残っていないかの確認も含みます）。