대상: Good Smile Company 공식 쇼핑몰에서 구매했거나 카드를 등록한 사람, 그리고 온라인 스토어를 운영하는 사람. 이 글은 회사의 공식 공지를 바탕으로 하며 공격 기법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
Good Smile Company 공식 쇼핑몰에서 구매했거나 카드를 등록한 사람, 그리고 온라인 스토어를 운영하는 사람.
- 확인된 영향 범위표 보기 ↓
- 악성 프로그램이 있던 기간
가능성이 있다고 한 항목
- B그룹: 카드 명의, 16자리 카드 번호 전체, 유효기간, 보안 코드
- A그룹: 카드 번호 끝 4자리, 유효기간
- C그룹: 배송지·청구지 이름, 주소, 전화번호, 이메일, 주문 내용, 금액, 결제 수단 종류
- 아직 확인되지 않은 사항
- A그룹의 인원수
- 공식 쇼핑몰의 재개 시기
- 재발급 수수료 처리 방식(카드 발급사와의 협의 결과)
- 지금 할 일절차 보기 ↓
- B그룹: 카드 발급사에 연락해 번호 변경(재발급)을 문의하세요
- B그룹인지 확실하지 않다면 조건을 확인하세요
- A그룹: 이메일이 없다고 대상이 아닌 것은 아닙니다
3개 더 보기
- C그룹: 이름, 주소, 전화번호가 유출되었을 수 있습니다. 회사를 사칭한 메시지에 주의하세요
- 회사, 카드 발급사, 공공 기관을 사칭한 메시지의 링크는 열지 마세요
- 대상 외: 라쿠텐 스토어, PayPal / Amazon Pay 결제 정보
- 확인처(출처)출처 전체 ↓
- Good Smile Company Co., Ltd., 공식 쇼핑몰 무단 접근에 대한 사과 및 안내, 4차 보고(2026년 10월 30일 업데이트, 10월 23일 1차, 10월 26일 2차, 10월 29일 3차 보고를 통합, 일본어)
- 마지막 확인
- 2026년 11월 3일 기준
후속 발표 예정과 확인 기록
회사는 안전이 확인된 뒤 공식 쇼핑몰 재개를 공지하겠다고 밝혔습니다. 11월 3일에 4차 보고(10월 30일 업데이트)와 각 FAQ를 확인했으며, 더 새로운 업데이트는 없었습니다.
내 그룹을 확인하고 오늘 할 일
먼저 어느 그룹에 속하는지 확인하세요. 회사는 이번 사건을 세 그룹으로 설명하며, 둘 이상에 속할 수도 있습니다.
| 그룹 | 대상 | 규모 | 개별 이메일 |
|---|---|---|---|
| B: 카드 정보 전체 | 2026년 10월 21일 13:55부터 10월 23일 7:00 사이에 결제 페이지에 카드 정보를 입력했을 수 있는 사람 | 2,800명 | 발송 |
| A: 카드 일부 정보 | 공식 쇼핑몰에 카드 정보를 한 번이라도 등록한 사람 | 402,466건(인원수 확인 중) | 미발송 |
| C: 주문 정보 | 10월 22일 23:00 직전까지 주문한 미발송 주문이 있는 사람 중 일부 | 5,356명 | 발송 |
B: 2,800명. 카드 명의, 16자리 전체, 유효기간, 보안 코드
결제 페이지에 입력한 내용. 발급사에 번호 변경 문의
A: 402,466건. 끝 4자리와 유효기간만
카드를 등록한 모든 사람. 개별 이메일 없음. 명세서 확인
C: 5,356명. 이름, 주소, 전화번호, 이메일, 주문 내용
카드·은행 정보는 없음. 회사를 사칭한 메시지 주의
B그룹: 카드 발급사에 연락해 번호 변경(재발급)을 문의하세요
B그룹은 카드 명의, 16자리 카드 번호 전체, 유효기간, 보안 코드가 수집되었을 수 있습니다. 회사는 명세서를 확인하고, 기억에 없는 청구가 있으면 카드 뒷면에 적힌 발급사에 연락하라고 요청합니다. 재발급 검토도 안내하고 있습니다.
이 사이트도 부정 청구가 아직 없더라도 발급사에 번호 변경을 문의하기를 권합니다. 보안 코드가 유출되었을 수 있고, 그 조합은 번호가 바뀔 때까지 계속 사용될 수 있기 때문입니다. 재발급은 본인이 신청합니다. 회사는 발급사에 이용자에게 재발급 수수료를 부과하지 않도록 요청했다고 밝혔으며, 11월 3일 기준 발급사의 회신 결과는 발표되지 않았습니다.
B그룹인지 확실하지 않다면 조건을 확인하세요
B그룹에는 다음이 포함됩니다.
- 해당 기간에 카드로 주문한 사람(384명)
- 해당 기간에 사전 주문 후 결제에 쓸 카드를 변경한 사람(185명)
- 결제를 시도했지만 완료하지 않은 사람
- 로그인해서 장바구니에 담았지만 결제 단계로 넘어가지 않은 사람(회사는 이 경우 유출이 없다고 보지만 안내 대상에 포함했습니다)
회사는 결제를 시도한 사람과 장바구니만 사용한 사람을 구별하는 기록이 없다고 밝혔습니다. 또 주문 후 카드를 변경하려다 완료하지 못한 사람도 정보가 유출되었을 수 있지만 특정할 수 없다고 합니다. 해당될 것 같다면 회사의 공식 서포트 공지에 있는 주의 사항을 읽어 보세요.
A그룹: 이메일이 없다고 대상이 아닌 것은 아닙니다
A그룹은 공식 쇼핑몰에 카드 정보를 한 번이라도 등록한 모든 사람입니다. 유출된 것은 카드 번호 끝 4자리와 유효기간뿐입니다. 회사는 카드 명의와 보안 코드는 유출되지 않았고 연결된 회원 정보도 유출되지 않았다고 밝혔으며, 이것만으로 부정 사용될 가능성은 매우 낮다고 보고 있습니다.
인원수는 아직 확인 중이어서 개별 이메일은 보내지 않았습니다. 이메일을 받지 못했다고 해서 대상이 아닌 것은 아닙니다. 공식 쇼핑몰에 카드를 등록한 기억이 있다면 명세서를 확인하고, 기억에 없는 청구가 있으면 발급사에 연락하세요.
C그룹: 이름, 주소, 전화번호가 유출되었을 수 있습니다. 회사를 사칭한 메시지에 주의하세요
C그룹의 항목은 배송지와 청구지의 이름, 주소, 전화번호, 이메일 주소, 주문 내용, 금액, 결제 수단 종류입니다. 카드와 은행 계좌 정보는 포함되지 않습니다. 결제 수단은 관계없어서, PayPal이나 Amazon Pay로 결제한 사람도 미발송 주문이었다면 대상이 될 수 있습니다.
회사는 7,774건의 주문(5,356명이 주문) 중 실제로 열람되었을 수 있는 것은 최대 202건이지만 어느 것인지는 알 수 없어 5,356명 모두에게 이메일을 보냈다고 밝혔습니다. 자신의 주문이 열람되었는지는 외부에서 알 수 없습니다. 메시지가 실제 주소와 주문 내용을 인용할 수 있으므로 다음 단계의 주의 사항을 따르세요.
회사, 카드 발급사, 공공 기관을 사칭한 메시지의 링크는 열지 마세요
회사는 자사, 공공 기관, 금융 기관을 사칭하는 수상한 이메일, 전화, 문자 메시지에 응답하지 말고 링크를 클릭하지 말라고 요청합니다. 다음은 회사가 든 예가 아니라 이 사이트의 가정이지만, 사과 절차, 카드 재등록, 재발급 수수료 환급을 안내하는 메시지는 충분히 있을 수 있습니다. 카드 정보나 비밀번호를 요구하는 메시지는 가짜로 취급하고 직접 연 공식 사이트에서 확인하세요(구별법: 피싱이란?).
이메일이 진짜인지 확인하려면 그 안의 링크를 쓰지 말고 회사의 공식 서포트 공지로 이동하세요.
대상 외: 라쿠텐 스토어, PayPal / Amazon Pay 결제 정보
회사는 라쿠텐 이치바 스토어는 별도 시스템으로 운영되므로 대상이 아니라고 밝혔습니다. PayPal이나 Amazon Pay 결제 정보의 유출은 확인되지 않았다고 합니다. 다만 미발송 주문 데이터는 C그룹에 해당할 수 있습니다. 문의는 별도 시스템에서 운영되는 회사의 고객 지원 양식을 통해 받습니다.
쇼핑몰이 카드 정보를 저장하지 않아도 결제 페이지의 악성 프로그램은 카드 정보를 수집합니다
B그룹의 유형은 쇼핑몰 데이터베이스에서 훔친 것이 아닙니다. 고객이 입력하는 결제 페이지에 프로그램이 심어져 있었습니다. 회사는 결제 페이지에 입력된 정보가 가로채졌다고 인식하고 있습니다. 회사에 따르면 카드 번호 전체, 이름, 보안 코드는 저장하지 않았고(저장한 것은 끝 4자리와 유효기간뿐) 그럼에도 정보가 유출됩니다.
회사에 따르면 프로그램이 있던 동안 카드 정보를 입력한 사람은 구매 완료 여부와 관계없이 모두 대상입니다. 결제를 시도하고 끝내지 않은 사람이 B그룹에 포함되는 이유입니다. 같은 유형의 과거 사례는 PhotoGoods 글과 APORITO 온라인 스토어 글에서 설명합니다.
A그룹은 다릅니다. 시기와 관계없이 카드를 등록한 모든 사람이 대상입니다. 회사의 FAQ에 따르면 카드 정보를 보관하는 데이터베이스에 무단 접근이 있었습니다.
무슨 일이 있었나(Good Smile Company 공지 기준)
이 절은 회사의 공식 서포트 사이트에 있는 1차부터 4차 보고와 그룹별 FAQ(2026년 11월 3일 확인)를 바탕으로 합니다.
2026년 10월 19일(15:00 직후)부터 10월 22일(23:00 직전)
제3자의 무단 접근 기간(회사 조사로 특정).10월 21일 13:55부터 10월 23일 7:00
결제 페이지에 악성 프로그램이 설치되어 있던 기간.10월 23일
6:00 직후 시스템을 개발·운영하는 위탁 업체가 회사에 무단 접근을 알렸습니다. 7:00에 공식 쇼핑몰을 닫았습니다. 같은 날 1차 보고를 공개했습니다.10월 26일
2차 보고(1차 보고에 추가).10월 28일
18:30 직후 회사가 결제 페이지에 악성 프로그램이 심어져 있었다는 사실을 발견했습니다.10월 29일
3차 보고.10월 30일
4차 보고. 3차 보고의 일부를 정정했습니다(C그룹 규모를 7,673건에서 7,774건의 주문으로 정정).11월 3일 기준
더 새로운 업데이트 없음. 회사는 안전이 확인된 뒤 공식 쇼핑몰 재개를 공지하겠다고 밝혔습니다.
- 대상 서비스
- Good Smile Company 공식 쇼핑몰. 라쿠텐 이치바 스토어는 별도 시스템으로 운영되므로 대상이 아님
- 공개된 원인
- 회사는 쇼핑몰이 사용하는 시스템의 일부 취약점이 악용되어 관리자 권한이 취득되었다고 인식합니다. 위탁 업체의 보고에 따르면 원인으로 보이는 취약점은 최근 보고된 PHP 취약점이 아닙니다. 어떤 취약점인지는 공개되지 않았습니다
- 취한 조치
- 보관해 둔 소스 코드를 바탕으로 취약점을 수정하고, 시스템 간 접속 자격 증명 전체를 무효화하고 갱신했으며, 그 밖의 보안도 강화했습니다. 개인정보보호위원회에 보고했습니다. 카드 회사와 결제 대행사에 대한 보고는 진행 중입니다
- 재발급 수수료
- 회사는 카드 발급사에 이용자에게 부과하지 않도록 요청했습니다
- 다음 단계
- 안전이 확인된 뒤 공식 쇼핑몰 재개를 공지할 예정입니다
알려진 것과 알려지지 않은 것
2026년 11월 3일 기준의 상태입니다. 새 소식이 있으면 이 표의 상태 열을 갱신합니다.
| 항목 | 회사 설명 | 상태 |
|---|---|---|
| 악성 프로그램이 있던 기간 | 2026년 10월 21일 13:55부터 10월 23일 7:00 | 확인됨(회사 조사) |
| B그룹: 카드 명의, 16자리 카드 번호 전체, 유효기간, 보안 코드 | 해당 기간에 결제 페이지에 입력했을 수 있는 2,800명 | 가능성 있음(회사) |
| A그룹: 카드 번호 끝 4자리, 유효기간 | 시기와 관계없이 등록된 402,466건(중복 제외) | 가능성 있음(회사) |
| A그룹: 카드 명의, 보안 코드, 연결된 회원 정보 | 회사는 유출되지 않았다고 밝힘 | 포함되지 않음(회사) |
| C그룹: 배송지·청구지 이름, 주소, 전화번호, 이메일, 주문 내용, 금액, 결제 수단 종류 | 7,774건의 주문(5,356명이 주문) 중 최대 202건이 열람되었을 수 있음 | 가능성 있음(회사) |
| C그룹: 카드·은행 계좌 정보 | 회사는 해당 항목이 아니라고 밝힘 | 포함되지 않음(회사) |
| 라쿠텐 스토어, PayPal·Amazon Pay 결제 정보 | 라쿠텐 스토어는 대상 외. PayPal·Amazon Pay 정보 유출은 확인되지 않음 | 포함되지 않음(회사) |
| A그룹의 인원수 | 카드 건수만 공개. 인원수는 확인 중 | 조사 중 |
| 원인 | 시스템 일부의 취약점이 악용되어 관리자 권한이 취득됨. 최근 보고된 PHP 취약점은 아님 | 회사의 인식(취약점 상세는 비공개) |
| 재발급 수수료 | 카드 발급사에 이용자에게 부과하지 않도록 요청 | 요청함(결과 발표 없음) |
| 공식 쇼핑몰 재개 | 안전 확인 후 공지 | 미정 |
읽는 법: 가능성 있음은 유출되지 않았다는 뜻이 아닙니다
회사는 B그룹과 C그룹을 가능성이 있다고 표현합니다. 이는 실제 범위를 특정하지 못했다는 뜻이지 유출이 없었다는 뜻이 아닙니다. 카드 정보는 탈취된 뒤 얼마 지나서 사용될 수도 있으므로, 번호를 바꿀 때까지 적어도 몇 개월은 명세서를 계속 확인하세요.
숫자에 주의: C그룹 규모는 4차 보고에서 정정되었습니다
회사는 10월 30일 4차 보고에서 3차 보고를 정정했습니다. 3차 보고는 10월 22일 22:20 직전부터 23:00 직전까지 접수된 7,673건의 주문을 대상으로 했습니다. 정정된 수치는 10월 22일 23:00 직전까지 접수된 미발송 주문 7,774건(5,356명이 주문)이며, 이 중 실제로 열람되었을 수 있는 주문은 최대 202건입니다. C그룹 FAQ의 일부에는 아직 이전 수치가 남아 있습니다.
유출되었을 수 있는 항목의 조합이 초래할 수 있는 일
일반적으로 이러한 조합으로는 다음과 같은 부정 사용이 가능합니다. 이번 사건에서 실제로 일어났다는 뜻은 아닙니다.
- 카드 번호(전체) + 유효기간 + 보안 코드 + 카드 명의(B그룹): 온라인 쇼핑에 사용. 추가 인증이 없는 사이트에서는 이것만으로 결제가 될 수 있습니다
- 끝 4자리 + 유효기간(A그룹): 카드 회사를 사칭해 "카드 끝 4자리가 0000입니다"라고 알리는 메시지가 진짜처럼 보입니다. 다만 일반적으로 이 두 항목만으로는 결제할 수 없습니다
- 이름 + 주소 + 전화번호 + 이메일 + 주문 내용(C그룹): 맞는 상품, 금액, 주소가 담긴 그럴듯한 "주문 확인"이나 "사과" 메시지를 만들 수 있습니다
사이트 운영자를 위해: 공개된 경과로 자사 사이트에서 점검할 수 있는 것
결제 페이지 변조에 대한 일반적인 방어(카드 정보를 저장하지 않는 것만으로는 부족한 이유, 결제 페이지의 스크립트 감시)는 APORITO 글에 있습니다. 여기서는 이번 공지의 세 가지 사실에서 운영자가 점검할 수 있는 것만 다룹니다.
어떤 취약점이 쓰였는지, 프로그램이 어떻게 결제 페이지에 도달했는지는 공개되지 않았습니다. 이 절은 회사의 대응을 평가하는 것이 아닙니다.
침입을 확인했다면 같은 날 결제 페이지의 변조도 점검하세요
회사의 설명에서 무단 접근은 10월 23일에 드러났고, 결제 페이지의 프로그램은 10월 28일에 발견되었습니다. 결제 페이지의 변조는 고객 데이터 열람이 확인된 뒤 별도로 발견되었습니다. 대응이 느리다는 신호로 읽지 말고, 데이터 열람과 결제 페이지 변조가 별개로 일어날 수 있다는 예로 읽으세요.
관리자 권한이 탈취된 사이트에서는 무엇이 열람되었는지 조사하면서, 결제 페이지가 불러오는 스크립트 목록을 만들어 의도한 목록과 비교하세요. 의도한 목록이 없다면 오늘의 목록을 저장해 두고 내일부터 비교하세요.
뉴스에 나온 취약점을 패치했다고 조사를 멈추지 마세요
회사는 원인으로 보이는 취약점이 최근 보고된 PHP 취약점이 아니라는 위탁 업체의 보고를 공개했습니다. 모두가 이야기하는 취약점만 패치하고 원인이 해결되었다고 보면 다른 입구가 열려 있을 수 있습니다. 로그로 관리자 권한을 어떻게 얻었는지 밝혀질 때까지 다른 입구가 남아 있다고 가정하고 계속 점검하세요.
관리자 계정과 시스템을 연결하는 자격 증명을 점검하세요
회사의 대응에는 시스템 간 자격 증명 전체를 무효화하고 갱신하는 일이 포함되었습니다. 관리자 권한이 탈취되면 사이트의 관리자 계정뿐 아니라 결제 대행사, 데이터베이스, 외부 서비스에 연결하는 키와 비밀번호도 교체해야 합니다. 어떤 자격 증명이 어디에 있는지 목록이 없으면 빠뜨리게 됩니다. 오늘 그 목록을 만드는 것부터 시작하세요. 구축이나 운영을 위탁한다면 위탁 업체가 목록을 제공할 수 있는지 문의하세요(백도어가 남아 있지 않은지 확인하는 것도 포함됩니다).
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 경로나 기법은 추측하지 않습니다.
- Good Smile Company Co., Ltd., 공식 쇼핑몰 무단 접근에 대한 사과 및 안내, 4차 보고(2026년 10월 30일 업데이트, 10월 23일 1차, 10월 26일 2차, 10월 29일 3차 보고를 통합, 일본어) — support.goodsmile.com
- 같은 회사, 1차 보고(10월 26일 추가, 일본어) — support.goodsmile.com
- 같은 회사, A그룹(카드 일부 정보) FAQ(10월 30일 업데이트, 일본어) — support.goodsmile.com
- 같은 회사, B그룹(카드 정보 전체) FAQ(10월 30일 업데이트, 일본어) — support.goodsmile.com
- 같은 회사, C그룹(주문 정보) FAQ(10월 30일 업데이트, 일본어) — support.goodsmile.com
- 같은 회사, 공통 FAQ(일본어) — support.goodsmile.com
업데이트 기록
2026-11-03: 첫 버전. 회사의 4차 보고(10월 30일 업데이트)와 그룹별 FAQ를 바탕으로 했습니다. C그룹 수치는 4차 보고에서 정정된 숫자(7,774건의 주문, 5,356명)를 사용했습니다. 회사는 재개 시기와 A그룹의 인원수를 나중에 발표하겠다고 밝혔으며, 공개되면 업데이트합니다.
다음으로 읽을 글
- 같은 유형의 사건: PhotoGoods 결제 페이지의 악성 프로그램 / APORITO 온라인 스토어 카드 정보 유출 가능성
- 운영자용: 파일 업로드 취약점 / PCI DSS란?
- 이어지는 사기: 피싱이란?
- 2026년 기타 사건: 2026년 데이터 유출 및 사이버 공격(일본과 해외)