カード番号を
保存していなくても、
確かめたいこと

アオイこのニュース、自分のお店ならどうなるか、考えてみます

2026年10月、グッドスマイルカンパニーの公式ショップで不正アクセスがあり、お客様のカード情報などが漏えいした可能性があると公表されました。
ニュースは「何が起きたか」を伝えます。この記事では一歩進めて、自分のネットショップならどうなるかを、運営する経営者の目線で考えます。

ネットショップを運営する方向けの解説です。会社や利用者を責めるためのものではありません。事実は同社の公式発表（第4報・2026年10月30日）によります。後半は、わたしたちの考えです。できる対策は、使っているショップの仕組みや決済の会社によって違い、変わることもあります。

公表された事実

アオイ支払いのページに、不正なプログラムが置かれていました

同社の発表（不正アクセスによるお客様情報流出の可能性について（第4報））から、要点をまとめます。

• 10月23日の朝、サイトの開発・保守の委託先からの連絡で、10月19日〜22日に第三者による不正アクセスがあったことが分かり、同日7時にサイトを閉鎖しました（10月発送予定の注文・予約商品は、順次出荷しているとしています）。
• 原因は、システムの一部の脆弱性が悪用され、管理者権限が不正に取得されたものと、同社は認識しています（近時報告されたPHPの脆弱性ではない、としています）。
• 10月21日13時55分から23日7時まで、カード決済のページに不正なプログラムが置かれていました（このことが分かったのは10月28日18時30分過ぎ）。
• この間に決済ページでカード情報を入力した可能性のある2,800名に、名義人名・カード番号（全16桁）・有効期限・セキュリティコードが漏えいした可能性があるとして、個別にメールで連絡したとしています。2,800名には、カード決済で注文した384名、予約後にカードを変更した185名のほか、決済を完了しなかった方と、カートに入れたが決済に進まなかった方（この方々は漏えいは発生していないと考えられる、としています）が含まれます。お客様の操作の記録を保持していないため、この二つを区別できなかったとしています。また、注文後にカードの変更を試みて完了しなかった方も漏えいの可能性がありますが、同社では対象者を特定できないとしています。
• カード情報を登録したことのある方の、番号の下4桁と有効期限（重複を除き402,466枚）も漏えいした可能性があるとされています。名義人名とセキュリティコードの漏えいは確認されていない、としています。
• 出荷処理が済んでいなかった5,356名・7,774件の注文のうち、最大202件の注文情報（名前・住所・電話・メール・注文内容など）が閲覧された可能性があり、どの202件かは特定できないため、5,356名全員に連絡したとしています。この注文情報に、具体的なカード情報や銀行口座情報は含まれない、としています。
• 原因と思われる脆弱性の改修と、システム間の接続情報の無効化・更新などを行ったとしています。個人情報保護委員会に報告し、カード会社・決済代行会社への報告を進めるとしています。再開の時期は、10月30日の時点で「安全性が確認でき次第」とされています。

心当たりのある方へ：同社は、同社や公的機関・金融機関を名乗る不審なメール・電話・SMSに応じず、リンクを押さないこと、個別のメールが届いた方は身に覚えのない利用履歴がないかを確かめ、あればカードの裏面にあるカード発行会社へ連絡することを呼びかけています。メールが届いていなくても、注文後にカードの変更を試みて完了しなかった方は、同社の発表の注意事項を確かめてください。

自分のお店なら、どうなるか（わたしたちの考え）

社長うちはカードの番号を保存していないけど…

02

公式ショップが止まる

社長再開はいつになるだろう

サイトを閉じている間は、そのサイトでの新しい注文が止まります。そのうえで、お客様への個別の連絡、問い合わせへの対応、国への報告などの手間がかかります。ネットショップが売上の大きな部分を占める小さなお店ほど、この重さは大きくなりやすいと、わたしたちは考えます。

今日、確かめておきたいこと

01

決済の会社に、番号を入れる仕組みの方式を聞く

社長番号は、うちのサーバーを通りますか？

「カード番号を入れる仕組みは、どの方式ですか（決済の会社の画面に移る形か、うちのページに埋め込む形か）。番号はうちのサーバーを通りますか。うちの側で必要な対策は何ですか」と聞いてみてください。制作会社に作ってもらった場合は、制作会社に聞くのも早道です。

02

入り口を減らし、書き換えに気づけるようにする

アオイ二段階の認証と、記録を残す設定をしておきましょう

• 管理画面に二段階の認証を入れる。使っていないアカウントや機能は消す
• ショップの仕組み・プラグイン・サーバーのソフトをこまめに新しくする（更新の前に控えを取り、更新のあとは注文の流れを確かめる）
• 支払いのページやファイルが書き換えられたら知らせが届く仕組みと、管理画面のログインや設定の変更の記録を残す（カードの番号は記録に残さない）

03

起きたときの連絡の順番を、紙1枚に

社長まず誰に連絡するか、決めておこう

誰が判断するか、決済の会社・制作会社・サーバー会社の連絡先、まず何を止めるか、誰にどの順で知らせるか。落ち着いているうちに1枚にまとめます。個人情報が漏れたおそれがあるときは、内容によって、国（個人情報保護委員会）への報告や、ご本人への連絡が必要になる場合があります。

04

委託先と、更新と見張りの担当を取り決める

社長更新と見張りは、どちらが担当ですか

今回、異変を知らせたのは委託先でした。また、同社は別に保存していた管理システムのソースコードをもとに脆弱性を改修し、システム間の接続情報の無効化・更新なども行ったとしています。制作や保守を頼んでいる場合は、ソフトの更新、見慣れない動きの見張り、控えの置き場所、起きたときの連絡を、誰が担当するか確かめておきます。

どの対策も、必ず防げるものではありません。それでも、漏れるものを少なく、気づくのを早く、広がるのを小さくする助けになります。カードを扱うネットショップには、カードの情報を自社で保存・処理・通過させないこと（保持する場合は、国際的な安全基準に沿うこと）や、どちらの場合もサイトの弱点への対策などが求められています。詳しくは、経済産業省や決済の会社の案内で確かめてください。

関係する記事

• ネットショップの情報漏えい対策｜防ぐより「被害を小さくする」4つの準備（よくあるご相談）
• WordPressのサイトが改ざんされたら、まず何をするか（よくあるご相談）

よくあるご質問

ネットショップの安全のことを、LINEで相談しませんか

友だち追加のあと、5問の短いアンケートにお答えください（困りごと・お仕事のジャンル・今のホームページのURL・始めたい時期・ひとこと）。

いただいた内容をもとに、次のようなことをご案内します。

1. 番号を入れる仕組みの方式の確かめ方
2. 管理画面の守りと、記録の残し方
3. 起きたときの連絡の順番の作り方

トークへのお返事は、担当の者がお送りします。15分の無料相談（オンライン）のご予約もできます。

ネットショップの安全をLINEで相談する

LINEを使わない方は、こちらから15分のオンライン相談を予約できます。