Good Smile Companyは、オンラインストアへの不正アクセスを確認した。外部者が顧客情報を閲覧しており、個人情報や購入履歴、決済カード情報の一部が流出した可能性がある。
人気のNendoroidフィギュアで知られる日本のコレクター向け商品メーカーGood Smile Companyは、 セキュリティインシデントを公表したのは10月23日だった。不正な第三者が10月19日から22日にかけてストアの管理システムにアクセスしたため、同社はウェブサイトを閉鎖した。10月26日の更新では、インシデントと顧客への潜在的な影響について追加情報が明らかにされた。
未発送の注文や個人情報を登録しているコレクターにとって、アカウントが影響を受けたのか、決済情報は安全なのか、オンラインストアが利用できない間に何をすべきなのかが、当面の疑問となる。
Good Smile Companyの侵害で、どの情報が流出したのか
Good Smile Companyによると、不正な第三者が10月19日午後3時すぎ（日本標準時）から10月22日午後10時ごろまでの間に複数回、オンラインストアの管理システム内の情報にアクセスし、閲覧した。
閲覧された可能性がある情報は次のとおり。
- 個人情報：顧客の氏名、氏名のフリガナ、性別、郵送先住所、電話番号、メールアドレス。
- 購入情報：注文日、商品名、数量、価格、配送先住所、受取人の連絡先、決済方法、決済状況。
- 決済カード情報の一部：カードブランド、有効期限、カード番号の下4桁。
Good Smile Companyは、カード番号全体、カード名義人の氏名、セキュリティコードは、流出した可能性がある情報に含まれていないと説明した。
同社は、影響を受けた顧客数や流出した可能性のある記録の総数を明らかにしていない。
Good Smile Companyは、不正アクセスがオンラインストアシステムの脆弱性の悪用によって生じたとみている。同社は、セキュリティシステムを強化し、疑われる脆弱性に対処したほか、インシデントを日本の個人情報保護委員会に報告したという。
ただし、脆弱性の詳細は公表しておらず、調査は続いている。10月26日の更新でGood Smile Companyは、今回の侵害はPHPの脆弱性が原因ではないと説明した。同社はPHPの脆弱性とは別に、10月21日から22日にかけてのメンテナンスで対処していた。
同社が不正アクセスを初めて把握したのは10月23日で、オンラインストアの開発・保守を担うサービスプロバイダーから通知を受けたことがきっかけだった。
フィッシングのリスクは、eSecurity Planetが報じた ASOSの顧客データインシデントをめぐる懸念と似ているが、2件の侵害は異なる状況で発生した。
Good Smile Companyのどのストアと決済サービスが影響を受けたのか
Good Smile Companyは、関連する複数のストアやサービスは別のシステム上で運用されており、今回のインシデントの影響を受けていないと説明した。
これには、Good Smile Company US、Good Smile Company Europe Online Shop、Good Smile Company Europe、Good Smile Company UK、Nendoroid Face Maker、楽天市場の同社店舗が含まれる。
また同社は、Amazon PayやPayPalなど外部決済サービスを通じて行われた購入に関連するクレジットカード情報は、侵害されたストア経由では流出していないと説明した。これらの決済情報は同社のサーバーに保存されていなかったためだ。
ただし、この区別によって関連する注文情報や連絡先情報の流出まで否定できるわけではない。影響を受けたオンラインストアは一時的に閉鎖されており、Good Smile Companyは再開日を発表していない。同社は、オンラインストアが利用できない間も、既存の注文と10月に予定されていた予約商品の処理・発送を続けているという。
ストアの閉鎖中に決済エラーが発生した顧客は、サポートに連絡できる。Good Smile Companyによると、影響を受けた予約商品は、こうしたエラーを理由に自動キャンセルされることはない。
Good Smile Companyの顧客が今すべきこと
Good Smile Companyは、すべての会員にメールを送るとしている。これには、インシデント後にアカウントを閉鎖した元会員も含まれる。また、調査の進展に応じて、影響を受けた可能性のある顧客には個別に通知する予定だ。
同社は、流出した情報がフィッシングや金融詐欺に使われたことを確認していない。しかし、顧客の連絡先や注文履歴があれば、犯罪者は説得力のある偽メッセージを作成できる。
攻撃者は、正規の購入商品や配送先、決済方法に言及して、顧客から追加情報を聞き出そうとする可能性がある。
顧客は次の対策を検討すべきだ。
- 侵害通知を独自に確認する。メールやテキストメッセージ内のリンクをたどるのではなく、Good Smile Companyの公式サポートサイトに直接アクセスする。
- 偽の配送・決済依頼に注意する。注文に今すぐの支払い、アカウント確認、カード情報の更新が必要だと主張するメッセージには注意する。
- 決済履歴を確認する。身に覚えのない取引がないか利用明細を監視し、不審な請求があればカード発行会社に連絡する。
- アカウントを保護する。パスワードが流出したとは確認されていないが、アカウントごとに固有のパスワードを使い、対応している場合は多要素認証を有効にする。心当たりのないパスワードリセット要求にも注意したい。
- 予約商品の記録を残す。オンラインストアが利用できない間は、確認メールと取引の詳細を保存しておく。
Good Smile Companyのアカウントを閉鎖したい顧客は、同社の公式サポートフォームから申請できる。このフォームは、影響を受けたオンラインストアとは独立して運用されている。
顧客アカウントのセキュリティについてさらに知りたい場合は、eSecurity Planetが報じた 1,170万件の記録に影響したCapcomのデータ侵害の記事で、日本の大手エンターテインメント企業に関わる別のインシデントを確認できる。
身元情報に関するリスクが心配な人は、eSecurity Planetが報じた 1,300万人に影響したIDScanの侵害についても確認するとよい。個人情報流出がもたらし得る影響を取り上げている。
なぜこの侵害がGood Smile Companyの顧客にとって重要なのか
Good Smile Companyは、決済カード番号全体とセキュリティコードは、閲覧された可能性がある情報に含まれていないと説明した。しかし、流出した連絡先や購入履歴があれば、犯罪者は説得力のあるフィッシングメッセージや偽の決済依頼を作成できる。
コレクターにとって、発送が遅れているNendoroidの予約商品や決済失敗に言及する偽メッセージは、以前の取引の正確な情報が含まれていれば、信じてしまう可能性がある。こうした詐欺が実際に発生したことを意味するわけではないが、流出した購入記録がセキュリティリスクを生み得る理由を示している。
注文、返金、アカウント復旧に関する予期しない連絡は、直接返信するのではなく、公式窓口を通じて確認すべきだ。不審な決済依頼を受け取った人は、金融情報を共有する前に、Good Smile Companyへ直接連絡してほしい。
調査は続いており、Good Smile Companyはオンラインストアをいつ再開するか発表していない。詳細が明らかになるまで、顧客はアカウントを監視し、購入記録を保管するとともに、決済やアカウントに関する依頼に対応する前に、確認済みの同社の更新情報を利用すべきだ。
顧客情報が流出した最近の別の侵害については、 Zeaburの侵害で321,810件のアカウントが影響を受けた経緯と、顧客が自身を守るために取るべき対応を解説した記事を読んでほしい。