グッスマの情報漏えいは大丈夫？自分が対象かの確認方法とカードの対処法

グッスマの情報漏えいは、どの操作をしたかで影響が大きく違うため、まず自分が対象の区分のどれに当たるかを確認するのが対処法の第一歩です。

特に、2026年10月21日13時55分から23日7時までに公式ショップの決済画面でカード情報を入力した人は、番号の全16桁やセキュリティコードまで漏えいした可能性があると発表されました。

一方、過去にカードを登録しただけの人は、下4桁と有効期限にとどまるとされています。

この記事では、区分の見分け方、カードの明細の見方と再発行の頼み方、不審な連絡への備えをまとめました。

※2026年10月31日時点の情報です。

最新の情報は公式サイトでご確認ください。

グッスマの情報漏えいで自分は大丈夫？区分ごとの状況と取る行動を確認

決済画面でカード情報を入力したグループBの人は明細の確認とカード会社への相談を、それ以外の人は区分に合った確かめ方をすれば十分です。

グッドスマイルカンパニーは、影響を受けた可能性がある人をグループA・B・Cの3つに分けて案内しています。

1人が複数のグループに当てはまることもあるので、下の表で自分の状況を一つずつ照らし合わせてみてください。

自分の状況	今どうなっているか・見込み	取る行動
10月21日13時55分〜23日7時に決済画面でカード情報を入力した（グループB）	名義・番号の全16桁・有効期限・セキュリティコードが漏えいした可能性。個別メールが届いている	明細を確かめ、覚えのない履歴があればカード裏面の窓口へ連絡。再発行も検討
同じ期間にログインしてカートに入れただけ（グループBのメールが届いた）	カード番号を打ち込む画面まで進んでいなければ、カードの情報は漏れていないという説明	入力した覚えがあるかを思い出す。不安が残ればカード会社に相談
過去に公式ショップへカード情報を登録した（グループA）	下4桁と有効期限の可能性。名前や会員情報とは結びついていないとされる。個別メールはまだ	明細を時々確かめる。心配ならカード会社に差し替えを相談
出荷前の注文があった（グループC）	届け先の名前・住所・電話番号・メールアドレス・注文内容などが見られた可能性（最大202件）	グッスマを名乗る連絡に注意。リンクは開かず公式サイトから確かめる
楽天市場店だけ、またはPayPal・Amazon Payで支払った	楽天市場店は対象外。PayPal・Amazon Payの支払い情報の漏えいは確認されていない	支払い情報は心配いらない。出荷前の注文があればグループCかを確かめる

いちばん急いで動きたいのはグループBの人です。

第4報では、覚えのない履歴があれば早めにカード発行会社へ知らせるよう求めています。

グループB向けのFAQでは、カードの再発行を考えてほしいという案内もありました。

覚えのない請求が来た場合について、グッスマは、一般にはカード会社の補償の決まりと、不審な利用を見つける仕組みにもとづいて対応されると説明しています。

三井住友カードの案内では、第三者による利用と分かれば、その代金を基本的に払う必要はありません。

つまり、明細を確かめて早めに連絡すれば、自分で負担せずに済む見込みがあるということです。

ただし、補償の範囲や期限はカード会社ごとの規約で決まり、すべての場合が保証されているわけではありません。

気づいた日のうちに連絡しておくのが確実でしょう。

カードを登録しただけのグループAの人については、下4桁と有効期限だけで決済するのは通常むずかしく、この情報だけで使われる可能性はきわめて低いと会社は見ています。

グループCの人も、メールが届いたからといって必ず見られたわけではありません。

7,774件のうち見られた可能性があるのは最大202件で、残りの注文の情報は漏れていないと説明されています。

SNSでは、漏えいしたカードで覚えのない請求があり、カード会社が止めてくれたという声も出ていますが、それがどの区分の人かは分かりません。

次の見出しから、区分ごとの確かめ方を詳しく見ていきましょう。

グッスマの情報漏えいの対象か確認する方法：グループA・B・Cと個別メール

グループBとグループCの人には個別のメールが届いていますが、グループAの人にはまだ届いていないため、メールの有無だけで判断しないことが大切です。

グッスマは10月29日に、区分ごとのFAQのページを公式サポートサイトに用意しました。

ここでは、それぞれの条件と確かめ方を順に整理します。

グループB：10月21日〜23日に決済画面でカード情報を入力した人

グループBは、10月21日13時55分から23日7時までに、公式ショップの決済画面でカード情報を入力した可能性がある2,800名です。

次の4つのどれかに当たる人が含まれています。

1. カード決済で注文を済ませた人（384名）
2. カード決済を試し、カード情報を入力したが注文が終わらなかった人
3. ログインしてカートに商品を入れたが、決済の手続きに進まなかった人
4. 予約商品の支払いに使うカードを変える手続きをした人（185名。試して終わらなかった人も含む）

3の人は、決済画面で入力していなければカード情報の漏えいはないとFAQに書かれています。

ただ、システムの記録では2と3を見分けられないため、3の人にも同じメールが届きました。

このほか、注文後にカードを変えようとして終わらなかった人も、この期間なら漏えいの可能性があります。

記録がなく会社の側では特定できないので、心当たりがあれば自分で第4報の注意点を確かめてください。

メールは、登録しているメールアドレスに届いています。

件名は【重要】で始まり、ECサイトのカード情報の漏えいの可能性について書かれたものです。

迷惑メールのフォルダに振り分けられていないかも、あわせて見ておくと確実です。

グループA：過去に公式ショップへカード情報を登録した人

グループAは、これまでに一度でも公式ショップにカード情報を登録したことがある人です。

漏えいの可能性があるのは、カード番号の下4桁と有効期限の2つだけとされています。

名義とセキュリティコードはデータベースに記録していなかったため、漏えいはないという説明でした。

会員情報のデータベースへのアクセスも確認されておらず、下4桁と有効期限が名前や住所と結びついて漏れたわけではありません。

対象のカードは、重複を除いて402,466枚です。

人数を確かめている途中のため、グループAには個別のメールが送られていません。

メールが届いていなくても、カードを登録したことがあれば対象になるとFAQに書かれています。

なお、10月26日の追記では、退会した元会員も含めたすべての会員に、お知らせと同じ内容をメールで送るとしていました。

これは全員向けのお知らせで、グループAの対象を知らせる個別メールとは別のものです。

会社は、下4桁と有効期限を保存していた運営の仕方を見直すことも検討しています。

グループC：10月22日23時前ころまでに出荷前の注文があった人

グループCは、10月22日23時前ころまでに公式ショップで注文し、出荷の処理がまだ終わっていなかった人の一部です。

出荷前の注文は7,774件（5,356名分）あり、そのうち最大202件が見られた可能性があります。

どの202件かは特定できなかったため、5,356名全員にメールが送られました。

見られた可能性があるのは、届け先や請求先の名前・住所・電話番号、メールアドレス、注文内容、金額、支払い方法です。

支払い方法は、クレジットカード・PayPal・コンビニ決済・Amazon Pay・atoneの翌月払いや後払いのどれを選んだかという種類だけでした。

カード番号や口座の情報は含まれず、グループBに当たらない人のカード情報は漏れていないとされています。

第3報では10月22日の夜の約40分間に注文した人だけが対象とされていましたが、第4報で日時に関係なく出荷前の注文が対象に改められました。

新たに対象と分かった人には、10月30日の早朝にメールが送られています。

時間帯が外れていると思っていた人も、もう一度メールを確かめておきましょう。

なお、楽天市場の「GOOD SMILE STORE 楽天市場店」と「ねんどろいどフェイスメーカー」は別のシステムで動いていて、影響はないとされています。

PayPalやAmazon Payでの支払い情報も、公式ショップのサーバーには残らない仕組みです。

ただし出荷前の注文があれば、支払い方法に関係なくグループCに入る可能性があります。

グッスマのグループBの人がするクレジットカードの対処：明細の確認から再発行まで

グループBの人は、明細を見る、覚えのない履歴があればカード会社に知らせる、必要ならカードを差し替える、の順に進めるのが基本です。

グループB向けのFAQも、この流れで案内しています。

ここでは、それぞれの段階で具体的に何をすればよいかをまとめました。

利用明細で確かめるポイント

明細は、紙の明細書のほか、カード会社のWebサイトやアプリでも見られます。

見るときに照らし合わせたいのは、利用日・お店の名前・金額の3つです。

三井住友カードの案内によると、お店の処理が遅れて利用日がずれることや、お店の名前と支払い先の名前が違うこともあります。

見慣れない名前があっても、まずは自分の買い物ではないかを注文確認メールと見比べるとよいでしょう。

家族カードがある場合は、家族の利用分も本会員の明細に並ぶ点にも気をつけてください。

徳島県の消費者情報センターには、使っていないカードの明細に覚えのない請求が続き、1年たって気づいたという相談も寄せられています。

明細は、今回の件が落ち着いたあとも時々見る習慣にしておくと安心です。

身に覚えのない請求があったときの連絡と補償

覚えのない履歴を見つけたら、カード裏面に書かれたカード発行会社の窓口に連絡します。

全対象共通のFAQによると、覚えのない請求があると伝えれば、カード会社が調べたうえで利用の停止や再発行などを進めてくれるとのことです。

連絡の前に、次のことを手元にまとめておくと話が早く進みます。

1. 覚えのない利用の利用日・お店の名前・金額
2. グッスマから、カード情報が漏えいした可能性を知らせるメールを受け取ったこと
3. グッスマの決済画面でカードを入力したおおよその日時

三菱UFJニコスのように、利用停止の連絡を24時間・年中無休で受け付けている会社もあります。

三井住友カードでは、アプリからカードを止めたり、利用の申告をしたりすることも可能です。

カード情報が使われただけでカード自体が手元にあるなら、紛失届はいらないと同社は案内しています。

補償の期限は、カード会社ごとに違います。

三井住友カードは、特別な場合を除き、申告した日の60日前からの利用を補償の対象にしています。

三菱UFJニコスも、届け出た日から60日前より後の損害を規定に沿って負担するという決まりです。

一方で、家族や同居している人による利用は対象外となり、規約には補償されない場合がほかにも並んでいます。

徳島県の消費者情報センターも、すぐに連絡しないと補償の期限を過ぎて取り戻すのが難しくなると注意を呼びかけました。

三井住友カードの例では、申告後の確認に1週間ほどかかり、止めるのが間に合わなかった分はおよそ2週間で返金されます。

カードの再発行と再発行手数料

カードの再発行は、カード裏面のカード会社に自分で頼みます。

カードの規約では本人以外が再発行を頼むことは原則できず、グッスマが代わりに手続きすることはできません。

再発行手数料については、利用者が負担しないよう、グッスマが各カード会社に申し入れている段階です。

カード会社がそれぞれどう対応するかは、10月31日時点で確かめられませんでした。

手数料がかかるかどうかは、再発行を頼むときにカード会社へ聞いてみてください。

再発行で番号が変わると、そのカードで払っている公共料金や携帯電話、サブスクリプションの登録も変える必要があります。

頼むときに、番号が変わるか、新しいカードが届くまでの日数も聞いておけば、登録の変え忘れを防げるでしょう。

三井住友カードは、情報が漏れた可能性を見つけたときに、会社の側から番号の変更を頼むことがあるとしています。

カード会社から差し替えの連絡が来たときも、メールのリンクではなく公式アプリやWebサイトで内容を確かめるのが安全です。

グッスマの第1報から第4報で何が変わった？原因と公式ショップの再開時期

公式ショップの再開時期は10月31日時点で未定で、安全が確かめられた段階で改めて知らせるとされています。

お知らせは段階的に出ていて、途中でカード情報の範囲が大きく広がりました。

第1報だけを読んで安心していた人は、内容が変わっている点に気をつけてください。

日付	発表	主な内容
10月23日	第1報	会員情報が見られたことを公表。カードはブランド・下4桁・有効期限で、全桁などは含まれないと説明
10月26日	第2報（第1報に追記）	委託先からの連絡で知った経緯、楽天市場店や外部決済は影響なし、発送や決済エラーの扱いを追記
10月29日	第3報	決済ページのプログラムが判明。2,800名の全16桁など、登録カード402,466枚の下4桁と有効期限を公表
10月30日	第4報（第3報の一部修正）	注文情報の対象を5,356名の一部（最大202件）に修正。区分ごとのFAQへの案内を追加

表のとおり、全16桁の可能性が出てきたのは10月29日の第3報からです。

ITmediaの報道でも、26日までは下4桁だけとされていたものが、その後の調べで全桁の可能性が分かったと伝えられています。

何が原因で、どんな対策がとられたのか

公式発表によると、10月19日15時過ぎから22日23時前ころにかけて、第三者が公式ショップにアクセスしていました。

10月23日午前6時過ぎに、システムの開発と保守を任せていた会社から連絡があり、同じ日の午前7時にショップが閉じられています。

その後、10月21日13時55分から23日7時まで、カード決済のページに外部からプログラムが仕込まれていたことが、28日の18時30分過ぎに分かりました。

原因は、システムの一部の弱点が使われ、管理者の権限が取られたことだとされています。

同じ時期に話題になったPHPの脆弱性とは別のものだと、会社ははっきり説明しました。

弱点は直され、システムどうしをつなぐ接続情報もまとめて切り替えられています。

個人情報保護委員会には報告済みで、これからカード会社と決済代行会社にも報告する予定です。

予約商品の発送・決済エラー・退会の扱い

ショップが閉じている間も、10月に発送する予定だった注文や予約商品は、順に出荷されています。

予約商品の支払いでエラーのお知らせが届いても、ショップが閉じているので自分で支払いをやり直すことはできません。

その場合はカスタマーサポートの問い合わせフォームから連絡すればよく、注文が自動で取り消されることはないとされています。

退会の手続きも、問い合わせフォームでふだんどおり受け付けています。

問い合わせフォームは公式ショップとは別のシステムなので、ショップが閉じていても使えるのが特徴です。

電話の窓口は、お知らせには書かれていませんでした。

グッスマを名乗る不審なメール・SMSへの備え

グッスマや金融機関を名乗る連絡が届いても、心当たりがなければ応じず、リンクも押さないことが基本です。

グッスマは第1報から第4報まで、漏えいした情報を使った不審なメール・電話・SMSに注意するよう呼びかけています。

特にグループCの人は、注文した商品名や金額まで知っている相手から連絡が来る可能性があるので注意しましょう。

本物の連絡かを見分けるポイント

三井住友カードは、カードの利用を検知したと装って番号を入力させるものや、覚えのない購入の取り消しを装うものを、不審なメールの例に挙げています。

不安をあおる言葉や、すぐに手続きしないと使えなくなるといった短い期限が書かれているのが特徴です。

同社は、確認の連絡のなかでカード番号やパスワードの入力を求めることはないとしています。

国民生活センターの助言は、メールやSMSのURLからではなく、ブックマークした正しいサイトや公式アプリから確かめることです。

グッスマのお知らせは、公式サポートサイト（support.goodsmile.com）に載っています。

今は公式ショップが閉じているため、ショップへのログインやカードの登録し直しを求める連絡が来ることは考えにくい状況です。

迷ったら、メールのリンクは使わず、自分で検索したサポートサイトのお知らせと見比べてください。

リンク先で入力してしまったときにすること

もし不審なリンク先で情報を入力してしまったら、すぐに次のことを行いましょう。

1. カード会社に連絡して、カードの利用を止めてもらう
2. 入力したIDやパスワードを変える（同じものを使っているほかのサービスも変える）
3. 利用明細で、利用日・お店の名前・金額を確かめる

困ったときは、住んでいる地域の消費生活センターや、消費者ホットライン（188）に相談できます。

グッスマの件をきっかけに見直したいクレジットカードの守り方

今回はショップ側で起きたことですが、利用通知と本人認証サービスを設定しておけば、似たことが起きたときに早く気づけます。

日本クレジット協会の集計では、2024年にカードが第三者に使われた金額は555.0億円で、そのうち番号を使われたものが513.5億円でした。

番号を使われる手口が大半なので、早く気づく仕組みを整えておくことが身近な備えになります。

多くのカード会社は、カードを使うたびにアプリやメールで知らせるサービスを用意しています。

三井住友カードがすすめているのは、偽のメールと見分けやすいアプリのプッシュ通知です。

本人認証サービス（3Dセキュア）は、ネットでの支払いのときに、カード番号とは別に本人だけが知る情報で確かめる仕組みです。

名前は、VISAが「Visa Secure」、Mastercardが「ID Check」、JCBが「J/Secure」、American Expressが「SafeKey」となっています。

公式ショップでも2023年12月18日から必須でしたが、今回は決済ページそのものにプログラムが仕込まれていたため、入力内容が読み取られた可能性があるとされました。

設定の仕方はカード会社ごとに違うので、カード会社のサイトで確かめてください。

お知らせでは、会員のパスワードが漏えいしたとは書かれていません。

それでも国民生活センターは、同じIDとパスワードをいくつものサービスで使わないよう助言しています。

グッスマのパスワードをほかのサイトでも使っているなら、この機会に別々のものにしておくと安心です。

まとめ：グッスマの情報漏えいは区分を確認してから対処を

グッスマの情報漏えいは、グループA・B・Cのどれに当たるかを確認してから、区分に合った対処をするのが近道です。

• グループB（10月21日13時55分〜23日7時に決済画面でカードを入力）：明細を確かめ、覚えのない履歴があればカード裏面の窓口へ。再発行も検討
• グループA（過去にカードを登録）：メールがなくても対象。明細を時々確かめ、心配ならカード会社に相談
• グループC（出荷前の注文）：注文内容を知る相手からの連絡に注意し、リンクは開かない
• 決済エラー・退会：問い合わせフォームから連絡。注文は自動で取り消されない

公式ショップの再開時期はまだ決まっていません。

最新の情報は、公式サポートサイトのお知らせで確かめてください。