本物のサイトで、
カード情報が盗まれる

フィギュアメーカーのグッドスマイルカンパニーから、公式オンラインショップの利用者にメールが届いています。10月21日13時55分から23日7時までの間に決済ページでカード情報を入力した可能性のある2,800名について、カード名義・16桁の番号・有効期限・セキュリティコードが漏えいした可能性がある、という内容です。偽サイトに誘導されたわけではありません。URLは本物、鍵マークも本物、注文も正常に通っています。本記事では、この「本物のサイトで盗まれる」仕組みと、利用者の側でできることを整理します。

何が起きたのか

グッドスマイルカンパニーの第3報（10月29日）によれば、公式ショップのシステムの一部にあった脆弱性が悪用されて管理者権限が取られ、カード決済ページに不正なプログラムが置かれていました。この間に決済ページでカード情報を入力した可能性のある2,800名（注文完了384名、決済に失敗した人、カート止まりの人、カード情報を変更した185名を含む）が対象です。別途、サイトにカードを登録していた402,466枚分の下4桁と有効期限、10月22日夜の注文7,673件分の氏名・住所・注文内容も閲覧された可能性があります。

出典: グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第3報）」（2026年10月29日）／ITmedia NEWS（2026年10月29日）

同じ週には、ゼビオホールディングスのECサイトでも、管理者の認証情報が盗まれて決済ページが改ざんされたと公表されています。どちらも「サイトが偽物だった」のではなく、本物のサイトの決済ページに、カード情報を横取りする仕掛けが足された事案です。

仕組み——決済ページに「もう1本の送信先」を足す

この手口は「Webスキミング」や「フォームジャッキング」と呼ばれます。流れはこうです。

• 攻撃者が、脆弱性や盗んだ管理者パスワードを使って、サイトのファイルを書き換えられる状態になる。
• 決済ページに、小さなプログラム（JavaScript）を1行足す。正規のライブラリに似せた名前にして、見ても気づきにくくする。
• 利用者が決済ページを開くと、そのプログラムは利用者のブラウザの中で動き、入力されたカード番号やセキュリティコードを、注文が送信されるのと同時に、攻撃者のサーバーにも送る。
• 注文は正常に通る。画面には何も出ない。カード会社からの利用通知も、正しい店名で届く。

重要なのは、盗まれた情報がサイトのサーバーを経由しないことです。利用者のブラウザから直接、攻撃者へ送られます。そのためサーバーのログには何も残らず、運営者自身も気づきにくい。Akamai が2021年までの国内事例を分析した記事によれば、カード情報漏えいを公表したEC事業者の約9割は、カード会社や決済代行会社、利用者からの連絡で初めて漏えいを知り、公表までの期間は中央値で1年を超えていました。

出典: Akamai「日本におけるクレジットカード情報漏えいの実態」（2022年8月26日）／ネットショップ担当者フォーラム「ECサイトを改ざんしクレジットカード情報を窃取する『Webスキミング』に注意を」（2022年3月28日、JC3の注意喚起を紹介）

「カード情報を保存していない」サイトでも漏れる理由

お詫び文にはよく「当社はカード情報を保持していません」と書かれています。これは嘘ではありません。2018年の割賦販売法改正以降、EC事業者はカード情報を自社で持たない（非保持化）か、PCI DSS という国際基準に準拠するかを求められており、多くのサイトは決済代行会社に処理を委ねています。セキュリティコードにいたっては、どの事業者も保存してはいけない決まりです。

それでも今回、セキュリティコードまで漏れました。保存していないものが漏れたということは、入力された瞬間に抜かれたということです。非保持化は「保存場所」を守る対策で、「入力画面」は守りません。入力画面を守るには、カード入力欄そのものを自社のページに置かない（決済代行会社のページやトークン化された部品に任せる）、ページが改ざんされたら検知する、管理者権限を奪われない、という別の対策が要ります。

規模感として、日本クレジット協会の集計では、2025年のクレジットカード不正利用被害額は510.5億円、そのうち番号盗用によるものが475.4億円で9割を超えます。番号が盗まれる入口のひとつが、この手口です。

出典: ECのミカタ「2025年クレカの不正利用被害額、前年比8%減 日本クレジット協会調査」（2026年3月12日更新）

利用者にできること——「見抜く」のではなく「効かなくする」

先に正直に書きます。この手口を、利用者が画面を見て見抜くことはできません。URLも証明書も本物で、改ざんされたプログラムは見えないからです。できるのは、盗まれても使えない形で払うことと、使われたらすぐ気づくことです。

• カード番号を入力しない払い方を選ぶ。Apple Pay や Google Pay は、カード番号の代わりに一度きりの番号（トークン）を店に渡します。決済ページにカード番号を打たなければ、横取りする対象がありません。PayPal や、コンビニ払い・後払いも同じ効果があります。
• ネット用のカードを分ける。バーチャルカードや、番号を都度発行できるカードをネット専用にしておくと、漏れても止めるのはその番号だけで済みます。
• 3Dセキュア（本人認証）をカード側で有効にする。2025年3月末以降、国内のEC加盟店には EMV 3-Dセキュアの導入が原則求められています。盗まれた番号で買い物をされるとき、スマホへの認証が入れば止められます。カード会社のアプリや会員サイトで設定を確認してください。
• 利用通知を「即時」にする。カード会社のアプリで、利用のたびに通知が来る設定にします。月末の明細では遅すぎます。今回の事案も、不正利用の兆候に最初に気づくのは利用者側であることが多いです。
• サイトにカード情報を保存しない。今回、402,466枚分の下4桁と有効期限が閲覧された可能性があるのは、サイトに登録されていた分です。都度入力は面倒ですが、登録しておくと「決済ページを開いていない人」まで対象になります。
• 漏えいの通知が来たら、迷わず再発行する。「下4桁だけ」「不正利用は確認されていない」と書かれていても、再発行は無料で、電話一本です。今回のように全桁とセキュリティコードが対象なら、通知を待たずに止めてください。
• 不正利用はカード会社の補償の対象。本人に過失がなければ補償されますが、申告の期限（多くのカード会社で利用日から60日程度）があります。だからこそ、通知と明細の確認が効きます。

サイトを運営する側は、何を変えるか

利用者側の対策は「被害を小さくする」ものです。発生そのものを減らすのは、運営側の設計です。カード入力欄を自社ページに置かず、決済代行会社の画面やトークン化された入力部品に任せる。ページに読み込むスクリプトを固定し、変わったら検知する。管理画面は多要素認証とIP制限で守り、権限を持つ人を絞る。そして更新が怖くない構造にして、脆弱性を放置しない。今回の2社とも入口は「脆弱性」と「管理者の認証情報」で、どちらも新しい手口ではありません。

こうした対策は、委託先・外部サービス経由の漏えいの記事で書いた「渡している情報の棚卸し」と同じ発想です。自社のサイトのどのページに、誰が、何を入力しているか。その入力欄を自社で持つ必要があるか。持たなくて済むなら持たない。それが、本物のサイトで盗まれる事故を根元から減らす方法です。

まとめ

偽サイトなら、URLを見れば防げます。本物のサイトの決済ページが改ざんされると、利用者には防ぎようがありません。できるのは、カード番号を打たずに払うこと、打つなら止めやすい番号にすること、使われたら即日気づく仕組みを持つことです。サイトを運営する側は、「保存していない」で安心せず、「入力させていない」まで進める必要があります。今回のメールが届いた方は、まずカードの再発行と、利用通知の設定から始めてください。