グッドスマイルカンパニーは、「グッドスマイルカンパニー公式ショップ」への不正アクセスにより顧客情報が流出した可能性があると発表した。
不正アクセスは10月19日15時過ぎから同月22日23時前ころにかけて発生し、システム開発・保守委託先事業者からの連絡によって発覚した。これを受け、同社は同月23日午前7時にサイトを閉鎖している。
調査の結果、サイトに記録された顧客情報が複数回閲覧されたほか、10月21日13時55分から同月23日7時までの間、クレジットカード決済ページに不正なプログラムが設置されていたことが判明した。なお、この不正なプログラムの設置に関する情報は、10月28日18時30分過ぎころに判明したという。
同決済ページにて情報が入力された可能性のある顧客は2,800名であり、クレジットカード名義人名、番号（全16桁）、有効期限、セキュリティコードが漏えいしたおそれがある。該当する顧客へは個別にメールでの連絡が実施されている。
また、過去にクレジットカード情報を登録していた顧客のうち、番号下4桁および有効期限の一部情報が漏えいした可能性のあるクレジットカード枚数は、重複を除き402,466枚となっている。さらに、10月22日22時20分前ころから同日23時前ころまでに注文を行った顧客7,673名についても、お名前、ご住所、お電話番号、メールアドレス、注文内容、金額、決済方法などのご注文情報が漏れた可能性がある。
対応状況として、同社は原因となった脆弱性の改修を行い、各システム間の接続情報一式を無効化・更新するなどのセキュリティ強化策を講じた。個人情報保護委員会への報告を完了しており、今後はクレジットカード会社および決済代行会社への報告を進める方針である。なお、サイトの再開時期については安全性が確認され次第改めて発表する予定。
