SOURCE CHECK
グッドスマイルカンパニーの第3報（2026年10月29日3時26分掲載）、クレジット取引セキュリティ対策協議会のクレジットカード・セキュリティガイドライン6.1版、カード会社（三菱UFJニコス）の加盟店向けページ、セキュリティ企業（マクニカ）の解説で確認しています。X投稿は、公式の発表と個人の声を分けて載せています。
セキュリティコードは、ネットショップが保存してはいけない情報です。それでも漏れるのは、決済ページに不正なプログラムを仕込まれると、入力した瞬間の値がそのまま抜き取られるためです（Webスキミング）。
- セキュリティコードの漏洩は「保存していたから」とは限りません。入力した時点で抜き取られる手口があります
- グッドスマイルカンパニーの第3報では、決済ページにカード情報を入力した可能性のある人が対象で、「カートに入れただけ」の人は漏えいは発生していないと考えられる、とされています
- 改ざんされた本物のサイトは見た目で見分けにくいので、明細・利用通知・本人認証で「被害を早く止める」備えが現実的です
漏えいの連絡が届いたあとにやることは、ショップから情報漏えいの連絡が来たら｜項目別にやることにまとめています。
この記事では、セキュリティコードが本来は保存されない理由、それでも漏れるWebスキミングの仕組み、グッドスマイルカンパニーの第3報がどう説明しているか、入力しただけの場合の考え方、利用者にできる備えを、公式の資料をもとに順番にまとめます。
こんな人におすすめ
- グッスマの発表で「セキュリティコードまで」と聞いて驚いた人
- 「お店はセキュリティコードを保存しないはずでは？」と疑問に思った人
- カードを入力したが決済エラーになった、カートに入れただけ、という人
- ネットショップでカードを使うとき、何に気をつければいいか知りたい人
01セキュリティコードは本来保存されない（保存禁止のルール）
セキュリティコード漏洩のニュースを見て「お店が保存していたの？」と感じた人は多いと思います。まず、ルールを確認します。
国内のカード決済の安全対策をまとめた「クレジットカード・セキュリティガイドライン」は、「カード情報」に、カード番号や有効期限だけでなく、「CAV2/CVC2/CVV2/CID いわゆるセキュリティコード」を含めています。そのうえで、セキュリティコードなどの機密認証データは「PCI DSS によりそれ単体での保持も認められていない」と書いています（PCI DSSは、カードの国際ブランドが定めた安全基準です）。
さらにネットショップ（EC加盟店）には、非保持化が求められています。非保持化とは、ガイドラインの言葉では「自社で保有する機器・ネットワークにおいて『カード情報』を『保存』『処理』『通過』のいずれも行わないこと」です。かんたんに言うと、ショップのサーバーにカード情報を置かず、決済会社の仕組みで処理してもらう形です。
このガイドラインは、割賦販売法が求める「必要かつ適切な措置」の実務上の指針とされています。つまり、セキュリティコードを保存しないことは、ショップが守るべきルールです。
出典：クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」、日本クレジット協会「加盟店の皆様へ」、経済産業省「割賦販売法（後払分野）の概要・FAQ」
02それでも漏洩する理由｜Webスキミングの仕組み
保存していないのに漏れるのは、保存される前の「入力した瞬間」を狙われるためです。この手口はWebスキミングと呼ばれます。
Webスキミング：お店のサイトに仕込まれた不正なプログラムが、決済ページの入力欄に打ち込まれた内容を横取りする手口です。
入力から抜き取りまでの流れ
- 攻撃者が、サイトの弱点（脆弱性や設定の不備）を突いて、サイトに入り込みます
- 決済ページに、不正なプログラムを仕込みます
- 利用者がカード番号・有効期限・セキュリティコードを入力すると、その値が攻撃者にも送られます
- 決済そのものは普通に進むことがあるため、利用者もショップもすぐには気づきにくくなります
ガイドラインは、この状況をはっきり書いています。「現在の主な情報漏えいは、非保持化を実現した EC 加盟店において Web サイトの脆弱性等を原因としてカード情報が窃取されているもの」。保存をやめたショップでも、サイトそのものを守らなければ漏れる、ということです。そのためガイドラインは、カード情報を持つかどうかにかかわらず、サイトの脆弱性対策をネットショップに求めています。
カード会社の三菱UFJニコスも、加盟店向けのページで、2018年度後半以降は非保持化済みの加盟店での「サイト改ざん」による漏えいが増えていると説明しています。手口として、「偽の決済ページへの誘導」と「カード情報が第三者に送信されてしまう」改ざんを挙げています。
セキュリティ企業のマクニカも、Webスキミングでは「カード番号だけではなく、有効期限やセキュリティコードまで漏えい対象となる」「非保持化を実施しているECサイトであっても漏えいする」と解説しています。
出典：クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」、三菱UFJニコス「カード情報漏えいのリスク」（加盟店向け）、マクニカ セキュリティ研究センター「Webスキミングに関する概説と対策手法」
グッドスマイルカンパニーは、第3報をXの公式アカウントでも告知しています。
出典：グッドスマイルカンパニー【公式】（@gsc_goodsmile）のX投稿（2026年10月29日）。公式の告知
サイトの弱点の一例として、10月にはサーバー側のプログラム（PHP）の脆弱性も話題になりました（WordPressのPHP脆弱性の記事）。ただし、グッドスマイルカンパニーは今回の原因について「近時報告されたPHP脆弱性ではございません」としています。
03グッスマ第3報の説明はどの形か
グッドスマイルカンパニーの第3報（2026年10月29日3時26分掲載）が書いている事実は、次のとおりです。
| 項目 | 公式の記載 |
|---|---|
| 何があったか | 2026年10月21日13時55分から10月23日7時までの間、クレジットカード決済ページに不正なプログラムが設置されていた |
| 原因 | システムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得された（近時報告されたPHP脆弱性ではない） |
| 対象 | 上の期間に決済ページにカード情報を入力した可能性のある2,800名 |
| 漏えいした可能性のある情報 | カード名義人名・カード番号（全16桁）・有効期限・セキュリティコード |
| 連絡 | 該当者には個別にメールで連絡 |
公式の説明は、「決済ページに不正なプログラムが置かれ、その期間に入力した人の情報が対象になった」という形です。これは、2章で説明した入力時に抜き取られる型（Webスキミング）と同じ形に読めます。
第3報には、セキュリティコードを「保存していた」とも「保存していなかった」とも書かれていません。この記事では、どちらとも決めつけません。原因の詳しい技術的な内容も、確認時点では公表されていません。
登録カードの下4桁・有効期限（重複を除き402,466枚）や注文情報など、ほかの区分の数字と、それぞれの人がやることは、ショップから情報漏えいの連絡が来たら｜項目別にやることの04節にまとめています。
出典：グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第3報）」
Xでは、「セキュリティコードって保持されてるの？」という疑問の声が多く出ています。
04入力しただけ・カートに入れただけの場合は？
マクニカの解説によると、Webスキミングでは「クレジットカード決済を実行」したときではなく、「クレジットカード情報を入力」したタイミングで漏えいし、「入力したが購入しなかった」場合でも漏えいします。一般論として、入力欄に打ち込んだかどうかが分かれ目になります。
グッドスマイルカンパニーの件では、公式が対象を次のように分けています。自分がどれに当たるかは、公式の区分で確かめてください。
| 期間中にしたこと | 公式の扱い |
|---|---|
| カード決済で注文した（384名） | 漏えいした可能性あり |
| カード決済を試みたが、完了しなかった | 漏えいした可能性あり（②か③かは記録がなく特定できないため、公式は該当しうる全員に連絡） |
| ログインしてカートに入れたが、決済手続きに進まなかった | 「クレジットカード情報の漏えいは発生していないと考えられます」（ただし該当の可能性がある人にも連絡） |
| 予約後、決済に使うカードを変更した（185名） | 漏えいした可能性あり |
| 注文後にカード変更を試みたが、完了しなかった | 漏えいの可能性あり（特定できないため、心当たりがあれば注意事項の確認を求めている） |
個別のメールが来ていなくても、決済エラーになった・カード変更が終わらなかった、などの心当たりがある場合は、カードの利用明細を確認しておくと安心です。
出典：マクニカ セキュリティ研究センター「Webスキミングに関する概説と対策手法」、グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第3報）」
05利用者に見抜ける？Webスキミング対策（個人）
正直に言うと、利用者が見た目で見抜くのは難しい手口です。Webスキミングは、偽のサイトではなく、いつも使っている本物のショップのサイトが改ざんされるためです。アドレス（URL）や鍵マークが正しくても、それだけで安全とは言い切れません。
一方で、三菱UFJニコスが挙げる「偽の決済ページへの誘導」の型では、決済のときに見慣れない画面に移ることがあります。一般的な注意として、たとえば次のような違和感があれば、入力をやめてショップやカード会社に確かめるのが安全です。
- 決済の直前に、いつもと違うデザインやアドレスの画面に移った
ただし、こうした違和感が出ない場合も多いので、「見抜く」よりも、次の章の「漏れても被害を小さくする」備えのほうが現実的です。
出典：三菱UFJニコス「カード情報漏えいのリスク」（加盟店向け）、マクニカ セキュリティ研究センター「Webスキミングに関する概説と対策手法」
06セキュリティコードを知られたときに備えること
クレジットカードのセキュリティコードを知られたときに被害を小さくできるよう、ふだんから用意しておけることをまとめます。ガイドラインも、カード会員が利用明細を確認することが、覚えのない取引に気づき、カードの無効・再発行などで被害の拡大を防ぐことにつながるとしています。
- ☑ カード会社のアプリやサイトで、利用通知（使われたときのお知らせ）を受け取れるようにする
- ☑ 利用明細を、こまめに確かめる
- ☑ ネットでの支払いの本人認証（3Dセキュア。パスワードやワンタイムパスワードで本人か確かめる仕組み）を、カード会社の案内に沿って設定する
- ☑ ネットショップで使うカードを決めておき、確かめる明細を絞る
- ☑ 覚えのない請求を見つけたら、カード会社に連絡する（手順はクレジットカードの身に覚えのない請求｜確認と連絡・停止の手順）
- ☑ ショップから漏えいの連絡が来たら、項目別にやることを確かめる（ショップから情報漏えいの連絡が来たら｜項目別にやること）
- ☑ 「漏えいの確認」「返金します」などのメールやSMSのリンクは開かない（お店のメルマガから詐欺メール｜セゾン名乗る偽物の見分け方）
利用通知や本人認証の名前・設定の場所は、カード会社ごとに違います。お使いのカード会社の公式の案内で確かめてください。
07よくある質問
お店がセキュリティコードを保存していたから漏れたのですか？
保存していなくても、決済ページに不正なプログラムを仕込まれると、入力した値が抜き取られることがあります（Webスキミング）。グッドスマイルカンパニーの第3報には、保存していたかどうかは書かれていません。
決済エラーになって注文できなかった場合も対象ですか？
グッドスマイルカンパニーの件では、「決済を試みたが完了まで至らなかった」人も、漏えいした可能性のある2,800名に含まれています。一般にWebスキミングは、入力した時点で漏れる手口です。
カートに入れただけなら大丈夫ですか？
グッドスマイルカンパニーは、カートに入れたが決済手続きに進まなかった人について「クレジットカード情報の漏えいは発生していないと考えられます」としています。
メールが来ていなければ安心ですか？
公式は、対象者に個別のメールで連絡したとしています。ただし、注文後にカード変更を試みて完了しなかった人は特定できないとしているので、心当たりがあれば利用明細を確かめてください。
セキュリティコードだけ変えることはできますか？
扱いはカード会社によって違います。カードの再発行が必要かどうかも含めて、カードの裏面に書かれたカード会社の窓口に確かめてください。
ショップに対策の義務はないのですか？
割賦販売法は、ショップにカード番号などの漏えいを防ぐ「必要かつ適切な措置」を求めていて、その実務上の指針がクレジットカード・セキュリティガイドラインです。
08まとめ
- セキュリティコードは、ネットショップが保存してはいけない情報です（ガイドライン・PCI DSS）。
- それでも漏洩するのは、決済ページに不正なプログラムを仕込まれ、入力した瞬間に抜き取られるためです（Webスキミング）。ガイドラインも、現在の主な漏えいはこの形だとしています。
- グッドスマイルカンパニーの第3報は「決済ページに不正なプログラム」と説明しています。保存していたかどうかは公式に書かれていません。
- 入力しただけでも対象になりうる一方、グッスマの件で「カートに入れただけ」の人は漏えいは発生していないと考えられる、とされています。
- 見た目で見抜くのは難しいので、利用通知・明細の確認・本人認証で、被害を早く止める備えをしておきましょう。
更新履歴：2026年10月29日 初版（2026年10月29日 19時20分（日本時間）時点の公式情報）。グッドスマイルカンパニーの続報など、公式の情報が更新されたら追記します。
参考 引用元・公式情報
確認日：2026年10月29日（日本時間）
- グッドスマイルカンパニー「不正アクセスによるお客様情報流出の可能性について（第3報）」（2026年10月29日 3:26）
決済ページへの不正なプログラムの設置と期間、原因（管理者権限の不正取得、PHP脆弱性ではない）、2,800名と漏えいした可能性のある項目、操作別の区分、402,466枚 - クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」
カード情報の定義（セキュリティコードを含む）、機密認証データはPCI DSSにより単体での保持も認められない、非保持化の定義、現在の主な情報漏えい、利用明細の確認 - 日本クレジット協会「加盟店の皆様へ」
ガイドラインが割賦販売法の「必要かつ適切な措置」の実務上の指針であること - 経済産業省「割賦販売法（後払分野）の概要・FAQ」
加盟店のカード番号等の適切な管理の義務 - 三菱UFJニコス「カード情報漏えいのリスク」
非保持化済み加盟店での「サイト改ざん」による漏えいの増加、偽の決済ページへの誘導・第三者への送信 - マクニカ「ペイメントアプリケーションの改ざん（Webスキミング）に関する概説と対策手法について」（2023年2月21日）
セキュリティ企業の解説。入力したタイミングで漏えいし、購入しなかった場合も漏えいする、セキュリティコードも対象
コメント