Для: всех, кто покупал в официальном магазине Good Smile Company или регистрировал там карту, а также тех, кто управляет интернет-магазином. Статья основана на официальных уведомлениях компании и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
всех, кто покупал в официальном магазине Good Smile Company или регистрировал там карту, а также тех, кто управляет интернет-магазином.
- ПодтвержденоСмотреть таблицу ↓
- Период нахождения вредоносной программы
Названо как возможно затронутое
- Группа B: имя владельца, полный 16-значный номер карты, срок действия, код безопасности
- Группа A: последние четыре цифры номера карты, срок действия
- Группа C: имя, адрес, телефон, почта для доставки и выставления счёта, содержимое заказа, сумма, тип способа оплаты
- Пока не подтверждено
- Число людей в группе A
- Когда откроется официальный магазин
- Как будет решён вопрос с платой за перевыпуск (итог переговоров с эмитентами карт)
- Что сделать сейчасСмотреть шаги ↓
- Группа B: свяжитесь с банком-эмитентом и спросите о смене номера (перевыпуске)
- Не уверены, что вы в группе B? Проверьте условия
- Группа A: отсутствие письма не означает, что вы вне охвата
Ещё 3
- Группа C: имя, адрес и телефон могли утечь; будьте осторожны с сообщениями от имени компании
- Не открывайте ссылки в сообщениях от имени компании, банка-эмитента или государственного органа
- Вне охвата: магазин на Rakuten и платёжные данные PayPal / Amazon Pay
- Где проверить (источник)Все источники ↓
- Good Smile Company Co., Ltd., извинения и уведомление о несанкционированном доступе к официальному магазину, четвёртое сообщение (обновлено 30 октября 2026 года; объединяет первое сообщение от 23 октября, второе от 26 октября и третье от 29 октября, на японском языке)
- Последняя проверка
- По состоянию на 3 ноября 2026 года
Планы обновлений и что мы проверили
Компания сообщает, что объявит об открытии официального магазина после подтверждения безопасности. 3 ноября мы проверили четвёртое сообщение (обновлено 30 октября) и каждый FAQ. Более новых обновлений в них не было.
Определите свою группу и что делать сегодня
Сначала выясните, к какой вы относитесь группе. Компания описывает инцидент в трёх группах, и вы можете входить в несколько.
| Группа | Кто | Количество | Индивидуальное письмо |
|---|---|---|---|
| B: полные данные карты | Люди, которые могли вводить данные карты на странице оплаты с 13:55 21 октября по 7:00 23 октября 2026 года | 2 800 человек | Отправлено |
| A: частичные данные карты | Люди, которые когда-либо регистрировали данные карты в официальном магазине | 402 466 карт (число людей уточняется) | Не отправлено |
| C: данные заказов | Часть людей с неотправленным заказом, оформленным вплоть до момента незадолго до 23:00 22 октября | 5 356 человек | Отправлено |
B: 2 800 человек. Имя владельца, все 16 цифр, срок действия, код безопасности
То, что вводили на странице оплаты. Спросите эмитента о смене номера
A: 402 466 карт. Только последние четыре цифры и срок действия
Все, кто когда-либо регистрировал карту. Индивидуального письма нет. Проверяйте выписки
C: 5 356 человек. Имя, адрес, телефон, почта, содержимое заказа
Данных карт и банковских счетов нет. Осторожно с сообщениями от имени компании
Группа B: свяжитесь с банком-эмитентом и спросите о смене номера (перевыпуске)
У группы B имя владельца, полный 16-значный номер карты, срок действия и код безопасности могли быть перехвачены. Компания просит проверять выписки и обращаться в банк, указанный на обороте карты, по поводу любого незнакомого списания. Она также советует рассмотреть перевыпуск.
Этот сайт тоже рекомендует спросить у банка о смене номера, даже если подозрительных списаний пока нет. Код безопасности мог утечь, а такое сочетание остаётся пригодным, пока номер не изменён. Заявку на перевыпуск вы подаёте сами. Компания говорит, что попросила эмитентов не взимать с пользователей плату за перевыпуск; по состоянию на 3 ноября итоги со стороны эмитентов не объявлены.
Не уверены, что вы в группе B? Проверьте условия
В группу B входят:
- Люди, оформившие в этот период заказ с оплатой картой (384 человека)
- Люди, которые после предзаказа в этот период сменили карту для оплаты (185 человек)
- Люди, которые пытались оплатить, но не завершили оплату
- Люди, которые вошли в аккаунт и добавили товары в корзину, но не перешли к оплате (компания считает, что у них ничего не утекло, но включила их в уведомления)
Компания говорит, что у неё нет записей, позволяющих отличить тех, кто пытался оплатить, от тех, кто только пользовался корзиной. Она также говорит, что у людей, пытавшихся сменить карту после заказа и не завершивших это, данные могли утечь, но их невозможно определить. Если это похоже на вас, прочитайте пояснения в официальном уведомлении службы поддержки компании.
Группа A: отсутствие письма не означает, что вы вне охвата
Группа A — все, кто когда-либо регистрировал данные карты в официальном магазине. Утекли только последние четыре цифры номера карты и срок действия. Компания говорит, что имя владельца и код безопасности не утекли, как и связанные данные участников. Она считает неправомерное использование только на этой основе крайне маловероятным.
Число людей ещё уточняется, поэтому индивидуальные письма не отправлялись. Отсутствие письма не означает, что вы вне охвата. Если вы помните, что регистрировали карту в официальном магазине, проверяйте выписки и обращайтесь в банк по поводу любого незнакомого списания.
Группа C: имя, адрес и телефон могли утечь; будьте осторожны с сообщениями от имени компании
В группе C — имя, адрес, телефон и адрес электронной почты для доставки и выставления счёта, содержимое заказа, сумма и тип способа оплаты. Данные карт и банковских счетов не входят. Способ оплаты не важен: те, кто платил через PayPal или Amazon Pay, тоже могут попасть в охват, если заказ не был отправлен.
Компания говорит, что из 7 774 заказов (оформленных 5 356 людьми) фактически могли быть просмотрены не более 202, но определить какие именно нельзя, поэтому письмо получили все 5 356 человек. Снаружи нельзя узнать, просматривали ли ваш заказ. Поскольку в сообщении могут указать ваш настоящий адрес и заказ, следуйте предостережению из следующего шага.
Не открывайте ссылки в сообщениях от имени компании, банка-эмитента или государственного органа
Компания просит не отвечать на подозрительные письма, звонки и SMS от имени компании, государственных органов или финансовых организаций и не переходить по ссылкам в них. Это не примеры от компании, а собственное предположение этого сайта: правдоподобны сообщения о порядке извинений, повторной регистрации карты или возврате платы за перевыпуск. Считайте поддельным любое сообщение, в котором просят данные карты или пароли, и проверяйте информацию на официальном сайте, который вы открыли сами (как отличить: Что такое фишинг?).
Чтобы проверить, настоящее ли письмо, не используйте его ссылки. Вместо этого перейдите к официальным уведомлениям службы поддержки компании.
Вне охвата: магазин на Rakuten и платёжные данные PayPal / Amazon Pay
Компания говорит, что её магазин на Rakuten Ichiba вне охвата, так как работает на отдельной системе. Утечки платёжных данных PayPal или Amazon Pay, по её словам, не подтверждено. Данные неотправленных заказов при этом всё равно могут относиться к группе C. Обращения принимаются через форму службы поддержки компании, работающую на отдельной системе.
Вредоносная программа на странице оплаты перехватывает данные карт, даже если магазин их не хранит
Тип группы B — это не кража из базы данных магазина. Программа была размещена на странице оплаты, в которую вводят данные покупатели. Компания считает, что информация, введённая на странице оплаты, была перехвачена. По данным компании, она не хранит полный номер карты, имя и код безопасности (хранились только последние четыре цифры и срок действия), но данные всё равно утекают.
По данным компании, в охвате любой, кто вводил данные карты, пока программа была на месте, независимо от того, завершил ли он покупку. Поэтому те, кто пытался оплатить, но не закончил, входят в группу B. Прошлые случаи того же типа разобраны в статье о PhotoGoods и статье об APORITO Online Store.
Группа A иная: она охватывает всех, кто когда-либо регистрировал карту, независимо от времени. Согласно FAQ компании, к базе данных с информацией о картах был получен несанкционированный доступ.
Что произошло (по уведомлениям Good Smile Company)
Раздел основан на первом–четвёртом сообщениях компании и FAQ по группам на её официальном сайте поддержки (проверено 3 ноября 2026 года).
С 19 октября (вскоре после 15:00) по 22 октября (незадолго до 23:00) 2026 года
Период несанкционированного доступа третьей стороны (установлен расследованием компании).С 13:55 21 октября по 7:00 23 октября
Период, в который на странице оплаты находилась вредоносная программа.23 октября
Вскоре после 6:00 подрядчик, разрабатывающий и сопровождающий систему, сообщил компании о несанкционированном доступе. В 7:00 официальный магазин был закрыт. В тот же день опубликовано первое сообщение.26 октября
Второе сообщение (дополнение к первому).28 октября
Вскоре после 18:30 компания обнаружила, что вредоносная программа была размещена на странице оплаты.29 октября
Третье сообщение.30 октября
Четвёртое сообщение. В нём исправлена часть третьего (число заказов группы C исправлено с 7 673 на 7 774).По состоянию на 3 ноября
Более новых обновлений нет. Компания говорит, что объявит об открытии официального магазина после подтверждения безопасности.
- Затронутый сервис
- Официальный магазин Good Smile Company. Магазин на Rakuten Ichiba вне охвата, так как работает на отдельной системе
- Причина по раскрытым данным
- Компания считает, что была использована уязвимость в части системы, которой пользуется магазин, и получены права администратора. По сообщению подрядчика, предполагаемая причина — не недавно обнародованная уязвимость PHP. Какая именно это уязвимость, не раскрыто
- Принятые меры
- Исправила уязвимость на основе сохранённого исходного кода, аннулировала и заменила весь набор учётных данных для соединения между системами и усилила безопасность в других отношениях. Сообщила Комиссии по защите персональных данных. Сообщение картам-компаниям и платёжным операторам ведётся
- Плата за перевыпуск
- Компания просила эмитентов карт не взимать её с пользователей
- Дальше
- Об открытии официального магазина объявят после подтверждения безопасности
Что известно и что нет
Состояние на 3 ноября 2026 года. Когда появятся новости, столбец статуса в этой таблице будет переписан.
| Пункт | Что говорит компания | Статус |
|---|---|---|
| Период нахождения вредоносной программы | С 13:55 21 октября по 7:00 23 октября 2026 года | Подтверждено (расследование компании) |
| Группа B: имя владельца, полный 16-значный номер карты, срок действия, код безопасности | 2 800 человек, которые могли ввести их на странице оплаты в этот период | Возможно (компания) |
| Группа A: последние четыре цифры номера карты, срок действия | 402 466 карт, зарегистрированных в любое время (без дубликатов) | Возможно (компания) |
| Группа A: имя владельца, код безопасности, связанные данные участников | Компания говорит, что они не утекли | Не входят (компания) |
| Группа C: имя, адрес, телефон, почта для доставки и выставления счёта, содержимое заказа, сумма, тип способа оплаты | Могли быть просмотрены не более 202 из 7 774 заказов (оформленных 5 356 людьми) | Возможно (компания) |
| Группа C: данные карт и банковских счетов | Компания говорит, что их среди пунктов нет | Не входят (компания) |
| Магазин на Rakuten; платёжные данные PayPal и Amazon Pay | Магазин на Rakuten вне охвата; утечка данных PayPal и Amazon Pay не подтверждена | Не входят (компания) |
| Число людей в группе A | Опубликовано только число карт; людей уточняют | Расследуется |
| Причина | Использована уязвимость в части системы и получены права администратора; не недавно обнародованная уязвимость PHP | Понимание компании (подробности уязвимости не раскрыты) |
| Плата за перевыпуск | Эмитентов карт просили не взимать её с пользователей | Просьба направлена (итогов нет) |
| Открытие официального магазина | Будет объявлено после подтверждения безопасности | Не решено |
Как читать: «возможно» не значит «не утекло»
Группы B и C компания описывает как «возможно». Это означает, что реальный охват определить не удалось, а не что ничего не утекло. Данные карт могут быть использованы спустя некоторое время после кражи, поэтому продолжайте проверять выписки как минимум несколько месяцев, пока номер не изменён.
Следите за цифрами: число группы C исправлено в четвёртом сообщении
В четвёртом сообщении от 30 октября компания исправила третье, где речь шла о 7 673 заказах, оформленных с момента незадолго до 22:20 до момента незадолго до 23:00 22 октября. Исправленная цифра — 7 774 неотправленных заказа, оформленных вплоть до момента незадолго до 23:00 22 октября (5 356 людьми); из них фактически могли быть просмотрены не более 202. В части FAQ группы C всё ещё указана старая цифра.
К чему могут привести сочетания возможно утёкших данных
В общем случае такие сочетания допускают следующие виды злоупотреблений. Это не значит, что что-либо из этого произошло здесь.
- Номер карты (полный) + срок действия + код безопасности + имя владельца (группа B): используется для покупок в интернете. На сайтах без дополнительной аутентификации этого может хватить для оплаты
- Последние четыре цифры + срок действия (группа A): сообщение от имени картовой компании со словами «последние четыре цифры вашей карты — 0000» выглядит правдоподобно. Но в общем случае по этим двум данным платёж не совершить
- Имя + адрес + телефон + почта + содержимое заказа (группа C): можно составить убедительное «подтверждение заказа» или «извинение» с верным товаром, суммой и адресом
Для операторов магазинов: что раскрытая хронология позволяет проверить на своём сайте
Общая защита от подмены страницы оплаты (почему недостаточно не хранить данные карт и как следить за скриптами на странице оплаты) описана в статье об APORITO. Здесь только то, что оператор может проверить по трём фактам из этого уведомления.
Какая уязвимость была использована и как программа попала на страницу оплаты, не раскрыто. Этот раздел — не оценка действий компании.
Подтвердив вторжение, в тот же день проверьте страницу оплаты на подмену
По версии компании, несанкционированный доступ обнаружился 23 октября, а программа на странице оплаты была найдена 28 октября. Подмену страницы оплаты нашли отдельно, после того как был подтверждён просмотр данных клиентов. Не читайте это как признак медленной реакции; читайте как пример того, что просмотр данных и подмена страницы оплаты могут происходить по отдельности.
На сайте, где захвачены права администратора, пока выясняете, что просматривалось, составьте также список скриптов, которые загружает страница оплаты, и сравните его с задуманным. Если задуманного списка нет, сохраните сегодняшний и сравнивайте с завтрашнего дня.
Не прекращайте расследование из-за того, что закрыта уязвимость из новостей
Компания опубликовала сообщение подрядчика, что предполагаемая причина — не недавно обнародованная уязвимость PHP. Если закрыть уязвимость, о которой все говорят, и считать причину устранённой, другие входы останутся открытыми. Пока по логам не ясно, как были получены права администратора, продолжайте проверку так, будто другие входы остаются.
Пересмотрите учётные записи администраторов и учётные данные, связывающие ваши системы
Ответные меры компании включали аннулирование и замену всего набора учётных данных между системами. Когда захвачены права администратора, нужно менять не только админ-аккаунты сайта, но и ключи и пароли для подключения к платёжному оператору, базе данных и внешним сервисам. Без списка, какие учётные данные где находятся, часть будет пропущена. Начните сегодня с составления этого списка. Если сборку или эксплуатацию вы отдаёте подрядчику, спросите, может ли он его предоставить (сюда входит и проверка, что не остался бэкдор).
Источники (открытые данные)
Факты в этой статье основаны на следующей открытой информации. Мы не гадаем о нераскрытых путях вторжения или методах.
- Good Smile Company Co., Ltd., извинения и уведомление о несанкционированном доступе к официальному магазину, четвёртое сообщение (обновлено 30 октября 2026 года; объединяет первое сообщение от 23 октября, второе от 26 октября и третье от 29 октября, на японском языке) — support.goodsmile.com
- Та же компания, первое сообщение (дополнено 26 октября, на японском языке) — support.goodsmile.com
- Та же компания, FAQ группы A (частичные данные карты; обновлено 30 октября, на японском языке) — support.goodsmile.com
- Та же компания, FAQ группы B (полные данные карты; обновлено 30 октября, на японском языке) — support.goodsmile.com
- Та же компания, FAQ группы C (данные заказов; обновлено 30 октября, на японском языке) — support.goodsmile.com
- Та же компания, общий FAQ (на японском языке) — support.goodsmile.com
История обновлений
2026-11-03: Первая версия. Основана на четвёртом сообщении компании (обновлено 30 октября) и FAQ по группам. Для группы C использованы исправленные цифры из четвёртого сообщения (7 774 заказа, 5 356 человек). Компания говорит, что позже объявит об открытии и числе людей в группе A; мы обновим статью, когда это будет опубликовано.
Читайте далее
- Инцидент того же типа: Вредоносная программа на странице оплаты PhotoGoods / Возможная утечка данных карт в APORITO Online Store
- Для операторов: Уязвимости загрузки файлов / Что такое PCI DSS?
- Последующие мошенничества: Что такое фишинг?
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года (Япония и зарубежье)