株式会社グッドスマイルカンパニーは10月30日、通販サイト「グッドスマイルカンパニー公式ショップ」への不正アクセスについて第4報を出し、注文情報が流出した可能性のある客の範囲を改めた。第3報が「10月22日22時20分前ごろから23時前ごろまでに注文した7,673名」としていた対象は、「10月22日23時前ごろまでに注文し、出荷処理が済んでいない注文を持つ客」のうち5,356人に置き換わった。
注文した時刻の幅で区切っていた対象が、まだ発送されていない注文を持っているかどうかで区切る形になった。第3報を読んで「あの夜は注文していない」と判断した会員も、発送待ちの注文があれば確かめ直すことになる。
第3報から変わった「注文情報」の範囲
第4報の見出しには「第3報の一部修正」とある。直されたのは、カード情報の類型ではなく注文情報の類型だ。
- 第3報: 10月22日22時20分前ごろから23時前ごろまでの注文。7,673名、閲覧された可能性のある注文7,673件
- 第4報: 10月22日23時前ごろまでに注文し、出荷処理が済んでいない注文すべてのうち、5,356人の注文7,774件。実際に閲覧された可能性があるのは、そのうち最大202件
閲覧された注文が202件という数は第3報と変わらない。どの202件かを特定できない事情も同じで、同社は7,774件の注文をした5,356人全員に個別メールを送ったという。新たに対象と分かった客には10月30日早朝にメールで連絡し、お知らせの掲載はそのあとになったと書いている。
流出した可能性がある項目も第3報と同じだ。届け先・請求先の氏名、住所、電話番号、メールアドレス、注文内容、金額、決済方法。決済方法はクレジットカード、PayPal、コンビニ決済といった種類だけで、カード番号や口座の情報は含まれないとしている。
カード情報の2つの類型は据え置き
カード情報の類型は、第4報でも数字が変わっていない。
- 10月21日13時55分から23日7時までに、決済ページでカード情報を入力した可能性のある2,800人: 名義、番号の全16桁、有効期限、セキュリティコード
- ショップにカードを登録したことのある会員: 番号の下4桁と有効期限。カードは重複を除き402,466枚で、人数はなお確認中
個人情報保護委員会には報告済みで、クレジットカード会社と決済代行会社への報告は「今後進めて参ります」とある。ショップは一時閉鎖が続き、10月発送予定の注文と予約商品は順次出荷を進めているという。
発送待ちの注文がある人の手順
最初に見るのはメールの受信箱だ。10月30日早朝に同社から個別メールが届いていれば、注文情報の類型に入っている。届いていなくても、発送待ちの注文がある人は、ブックマークしておいたサポートサイトから第4報と、同じ日に公開された Q&A を開いて読み直したい。
注文日・金額・届け先・商品名まで揃った情報は、本物らしい偽の連絡の材料になる。予約商品の案内や再決済の依頼を装った連絡は、ショップが閉じて出荷だけが進んでいるいまの状況に、ちょうど重なってしまう。同社は、決済エラーの自動案内を受け取ったのに再決済ができない客に、ショップとは別のシステムで動く問い合わせフォームから連絡するよう求めている。届いたメールのリンクからは入らず、自分で開き直す。手間はそれだけだ。
一方で、この類型で漏れた可能性があるのは連絡先と注文内容までで、カード番号は含まれない。カードの再発行まで考えるのは、2,800人の類型に入った人だ。自分がどの類型にいるかで、やることの重さは大きく違う。
次に確かめたいのは、グッドスマイルカンパニーのサポートサイトに出る次の報告だ。カード会社への報告が済んだか、下4桁が流出した可能性のある会員の人数がいつ示されるか。ショップの再開時期も、安全が確認でき次第そこで案内される。
ことば
- 出荷処理が済んでいない注文 — 注文や予約は受け付けたが、まだ発送の手続きに入っていない注文。予約商品のように、注文から届くまで日が空く買い方ほど、この状態の注文を長く持つことになる。
- なりすまし連絡 — 実在の会社や機関を名乗り、メールや SMS、電話で個人情報やカード番号を聞き出そうとする手口。注文内容のような本物の情報が混ざるほど、見分けにくくなる。
このショップで、まだ届いていない注文や予約を、あなたはいくつ持っているだろうか？
