株式会社グッドスマイルカンパニーは10月29日、通販サイト「グッドスマイルカンパニー公式ショップ」への不正アクセスについて第3報を出し、クレジットカード決済ページに不正なプログラムが仕掛けられていたと公表した。この間に決済ページでカード情報を入力した可能性のある2,800人について、カードの名義、番号の全16桁、有効期限、セキュリティコードが流出した可能性があるという。
10月23日の第1報では、カード情報は下4桁と有効期限までで、全桁とセキュリティコードは含まれないとされていた。第3報はその前提を自ら改め、「一部の情報に変更が生じて」いると書いている。下4桁しか見られていないなら明細の見張りで足りる、という判断をした会員は、決め直すことになる。
決済ページに、2日半のあいだ不正なプログラム
第3報によると、不正なプログラムが置かれていたのは10月21日13時55分からショップを閉じた23日7時までだ。同社がこれを知ったのは28日18時30分過ぎで、管理情報が閲覧されていた事実が分かった23日から5日後になる。原因はシステムの一部にあった脆弱性で、管理者の権限を奪われたとみている。10月21〜22日のメンテナンスで対応した PHP の脆弱性とは別だ、とも重ねて書いている。
2,800人の内訳として挙げられているのは、この期間に次の操作をした人だ。
- カード決済で注文した（384人）
- カード決済を試みたが、完了しなかった
- ログインしてカートに商品を入れたが、決済に進まなかった
- 予約後に、決済に使うカードを変更した（185人）
2つ目と3つ目は記録が残っておらず、どちらに当たるかを特定できない。3つ目の人はカード情報の流出はないと考えられるが、同社は4つの類型すべてに個別メールを送ったという。もう一つ、注文後にカードの変更を試みて完了しなかった人も流出の可能性があるが、こちらは特定できず、メールは届かない。この期間にショップでカードを入れ直そうとした覚えがある人は、自分から確かめにいくしかない。
2,800人以外の会員は何が変わったか
第3報は、対象を3つの類型に分けている。
- カード情報がすべて流出した可能性: 上の2,800人
- カード情報の一部（下4桁と有効期限）が流出した可能性: ショップにカードを登録したことのある会員。人数は確認中で、カードは重複を除き402,466枚。名義とセキュリティコードの流出は確認されておらず、このカード情報に紐付く会員情報の流出もないとしている
- 注文情報が流出した可能性: 10月22日22時20分前ごろから23時前ごろまでに注文した7,673件の客。届け先や請求先の氏名・住所・電話番号、メールアドレス、注文内容、金額、決済方法が対象。不正に閲覧された注文は202件だが、どれかを特定できないため7,673件全体を対象にしている
10月26日の追記では、Amazon Pay や PayPal など外部の決済サービスを使った注文は、カード情報が同社のサーバーに残らない仕組みだと説明している。
個別メールが来た人、来ていない人の手順
全桁が流出した可能性があるとメールで知らされた人に、同社が求めているのは、身に覚えのない利用がないか明細を確かめ、あればカード裏面の発行会社に連絡することだ。第3報の時点で、クレジットカード会社と決済代行会社への報告は「今後進める」段階にある。カード会社の側から先に連絡が来るとは限らない。
名義と全桁、有効期限、セキュリティコードが揃えば、ネット通販での不正利用に使われうる組み合わせになる。明細の見張りか再発行か、という第1報のころの選択は、2,800人については再発行の側に傾く。ただし再発行すると、新しいカードが届くまでそのカードは使えず、公共料金やサブスクリプションに登録した番号の付け替えも自分でやることになる。発行会社に電話する前に、そのカードで払っているものを書き出しておくと、届いた後の手間が読める。
メールが来ていない会員にも、気をつけたいことは残る。注文日や金額、届け先まで揃った情報は、本物らしいなりすまし連絡の材料になる。同社が個別メールを送ったばかりの今は、それに似せた偽物が混じりやすい時期でもある。メールのリンクから入らず、ブックマークしておいたサポートサイトからお知らせを開き直す。問い合わせフォームはショップとは別のシステムで動いている。
次に確かめたいのは、グッドスマイルカンパニーのサポートサイトに出る次の報告で、カード会社への報告が済んだか、下4桁が流出した可能性のある会員の人数がいつ示されるかだ。ショップの再開時期も、安全が確認でき次第そこで案内される。
ことば
- 決済ページの不正プログラム — 通販サイトの支払い画面に仕込まれ、利用者が入力したカード番号やセキュリティコードを抜き取って外へ送るプログラム。サイトに保存されていない情報まで、入力した瞬間に盗まれるのが特徴だ。
- セキュリティコード — カードの裏面などに印字された3〜4桁の数字。ネット決済で本人がカードを手元に持っているかを確かめるのに使う。番号の全桁と揃うと、ネットでの不正利用に使われやすくなる。
- カードの再発行 — 発行会社に頼んで番号ごと新しいカードに替えること。古い番号は使えなくなるので、流出した番号での不正利用を止められる。一方で、登録した支払い先の付け替えは利用者の作業になる。
10月21日から23日の朝までに、あなたはこのショップの決済画面でカード番号を入力しただろうか？
