グッドスマイルカンパニーの情報漏洩の可能性｜公式ショップの決済ページ改ざんでカード情報2,800名 第3報の内容と確かめること 2026

株式会社グッドスマイルカンパニーは2026年10月29日、「グッドスマイルカンパニー公式ショップ」への不正アクセスについて第3報を出し、クレジットカード決済ページに不正なプログラムが仕掛けられていたことで、2,800名のカード番号（全16桁）やセキュリティコードなどが漏えいした可能性があると発表しました。 あわせて、登録カードの番号下4桁と有効期限が漏えいした可能性のあるカードが402,466枚、注文情報が漏れた可能性のある客が7,673名と公表しています。 利用者がまずすることは、同社からの個別のメールを確かめ、届いていればカードの利用履歴を見て、身に覚えのない請求があればカード裏面の発行会社に連絡することです。

第1報（10月23日）の時点では、カード番号の全桁とセキュリティコードは含まれないと説明されていました。 第3報でその内容が変わったため、第1報だけを読んで安心していた人は、改めて確かめる必要があります。 この記事では、2026年10月30日時点の同社の公式発表に書かれていることだけをもとに、3つの類型の違い、対象の見分け方、カードの扱い、偽の連絡への備えを整理します。

グッドスマイルカンパニーの公式ショップで何が起きたか（2026年10月30日時点）

グッドスマイルカンパニーは、ねんどろいどやフィギュアで知られるメーカーで、自社で「グッドスマイルカンパニー公式ショップ」という通販サイトを運営しています。 第3報によると、2026年10月23日午前6時過ぎごろ、サイトのシステム開発・保守を委託している事業者からの連絡で、10月19日15時過ぎごろから10月22日23時前ごろにかけて第三者による不正アクセスがあったことが分かり、同社は10月23日午前7時にサイトを閉鎖しました。

その後の調べで、2つのことが分かっています。 1つは、サイトに記録された客の情報が複数回閲覧されたことです。 もう1つは、10月21日13時55分から10月23日7時までの間、クレジットカードの決済ページに不正なプログラムが仕掛けられていたことで、これが分かったのは10月28日18時30分過ぎごろだと書かれています。

決済ページに不正なプログラムが仕掛けられると、客が画面に入力したカード番号などが、そのまま外に送られるおそれがあります。 サイトがカード番号を保存していなくても、入力された瞬間に読み取られる形なので、セキュリティコードまで対象に入ります。 今回の第3報で、カード情報のすべてが漏えいした可能性のある客が出てきたのはこのためです。

同社の発表は、全体を通して「漏えいした可能性」「流出の可能性」という表現です。 実際に悪用されたかどうかは書かれておらず、この記事でも「可能性」の表現のまま扱います。 第3報の書き出しは次のとおりです。

2026年10月23日にご案内いたしました「グッドスマイルカンパニー公式ショップ」（以下「本サイト」といいます。）への不正アクセスによるお客様情報流出の可能性について、その後の調査により判明した事実および対応状況を次のとおり、ご報告いたします。 なお、第2報までにお知らせいたしました内容から、一部の情報に変更が生じております。 出典: グッドスマイルカンパニー カスタマーサポート「不正アクセスによるお客様情報流出の可能性について（第3報）」（2026年10月29日）

公表の経緯（第1報から第3報までの変化）

発表は3回に分かれており、回を追うごとに対象と項目が変わっています。 日付ごとに分かったことを表で並べます。

日時	出来事・発表	分かったこと
2026年10月19日 15時過ぎごろ	不正アクセスの開始	第3報で判明した開始の時刻
2026年10月21日 13時55分	決済ページに不正なプログラムが仕掛けられる	10月23日7時まで仕掛けられたままだった
2026年10月22日 23時前ごろ	不正アクセスの終わり	第1報では22時ごろとされていた
2026年10月23日 6時過ぎごろ	委託先からの連絡	同社が不正アクセスを認識
2026年10月23日 7時	サイトの閉鎖	以後、公式ショップは閉鎖中
2026年10月23日	第1報	会員の基本情報、注文情報、カードのブランド・番号下4桁・有効期限が閲覧された可能性。カード名義、番号の全桁、セキュリティコードは含まれないと説明。個人情報保護委員会に報告
2026年10月26日	第2報（第1報に追記）	原因は PHP の脆弱性ではないと説明。Amazon Pay や PayPal などの外部決済の注文はカード情報を保持していない。楽天市場店と「ねんどろいどフェイスメーカー」は別のシステムで影響なし。退会した元会員を含む全会員に個別メールで案内すると発表
2026年10月28日 18時30分過ぎごろ	不正なプログラムの判明	決済ページに仕掛けられていたことが分かる
2026年10月29日	第3報	カード情報すべての可能性2,800名、下4桁と有効期限の可能性402,466枚、注文情報の可能性7,673名を公表。新たに対象と分かった客には同日早朝にメールで連絡

第1報と第3報で一番大きく変わったのは、カード情報の範囲です。 第1報では「カード名義、カード番号の全桁（下4桁除く）及びセキュリティコードは含まれません」とされていましたが、第3報で決済ページに不正なプログラムが仕掛けられていたことが分かり、期間中に決済ページで入力した可能性のある客については、名義人名、全16桁、有効期限、セキュリティコードが漏えいした可能性があると改められました。 同社は第3報で、内容に変更が生じたことを詫びています。

もう1つの変化は、項目ごとに対象を分けたことです。 第1報は会員の情報全般が閲覧された可能性として書かれていましたが、第3報では「カード情報すべて」「カードの一部」「注文情報」の3つの類型に分け、それぞれの人数や枚数を示しています。 自分がどれに当たるかで、しなければならないことが変わります。

第2報で書かれた外部決済の扱いも、自分が対象かを考えるうえで役に立ちます。 Amazon Pay や PayPal などで支払った注文は、各決済事業者の仕組みで処理され、同社のサーバーにカード情報は保持されていないと説明されています。

漏えいした可能性のある情報を3つの類型で整理する

第3報が示した3つの類型を、対象、期間、項目に分けて表にします。

類型	対象	期間	漏えいした可能性のある情報
カード情報すべて	決済ページにカード情報を入力した可能性のある客 2,800名	2026年10月21日13時55分から10月23日7時	カード名義人名、カード番号（全16桁）、有効期限、セキュリティコード
カード情報の一部	公式ショップにカード情報を登録したことのある客（人数は確認中。カードは重複を除き402,466枚）	期間の記載なし	カード番号下4桁、有効期限
注文情報	期間中に注文した客 7,673名	2026年10月22日22時20分前ごろから23時前ごろ	お届け先・ご請求先の名前、住所、電話番号、メールアドレス、注文内容、金額、決済方法

2つ目の類型（カード情報の一部）について、同社はカード名義人名とセキュリティコードの漏えいは確認されていないこと、漏えいの可能性がある情報に紐づく登録会員情報の漏えいは無いことを明記しています。 人数はまだ確認中で、公表されているのはカードの枚数です。

3つ目の類型（注文情報）について、第3報は、実際に不正に閲覧された注文は202件だが、システム上どの注文が閲覧されたかを完全には特定できないため、閲覧された可能性のある注文7,673件の客すべてを対象にした、と説明しています。

個人情報保護委員会の漏えい等の対応とお役立ち資料には、カード番号の下4桁とその有効期限だけの組み合わせであれば直ちに報告の対象には当たらない、という整理が載っています。 これは事業者が委員会に報告する義務についての説明ですが、下4桁と有効期限だけの組み合わせと、全桁がそろう場合とで重さが違うことを読み取る参考になります。 一方で、全16桁とセキュリティコード、有効期限、名義人名がそろうと、ネットの買い物でそのまま使える組み合わせになります。 2,800名の類型に当たる可能性がある人ほど、急いで確かめる必要があります。

2,800名の内訳と、特定できない人

2,800名の類型は、期間中に決済ページで次のいずれかの操作をした客を含むと書かれています。

番号	操作	人数
①	カード決済で注文した	384名
②	カード決済を試みたが、決済の完了まで至らなかった	人数の記載なし
③	ログインしてカートに商品を入れたが、決済の手続きに進まなかった	人数の記載なし
④	予約の後、決済に使うカード情報を変更した	185名

同社は、システムが操作の記録を持っていないため、②と③のどちらに当たるかを特定できないと書いています。 ③の客については、カード情報の漏えいは発生していないと考えられるとしながらも、①から④に当たる可能性のある全員に個別に連絡したと説明しています。 つまり、2,800名のメールを受け取った人の中には、実際にはカード情報を入力していない人も含まれている可能性があります。

もう1つ、個別の連絡が届かない可能性のある人がいます。 第3報は、①から④のほかに、「ご注文後、決済に用いたクレジットカード情報について変更手続を試みたが完了に至らなかったお客様」もカード情報が漏えいしている可能性があるとしています。 ただし、この人たちは操作の記録が無いため特定できないと書かれています。 2026年10月21日13時55分から10月23日7時の間に、公式ショップでカード情報の変更を試みて途中でやめた覚えがある人は、メールが届いていなくても、自分でカードの利用履歴を確かめてください。

期間を自分の行動と照らし合わせるときは、注文履歴のメール、カード会社のアプリに残る利用の通知、ブラウザの閲覧履歴が手がかりになります。 予約商品の多い店なので、予約の支払い方法を変えた覚えがある人は特に注意が必要です。

第3報の時点で分かっていないこと（2026年10月30日時点）

発表を読むときは、分かったことと、まだ分かっていないことを分けておくと、続報が出たときに何が変わったかをすぐ判断できます。 2026年10月30日時点の第3報で、確認中か、記載が無いものは次のとおりです。

項目	第3報の記載
カードの一部（下4桁と有効期限）の類型の人数	確認中。公表はカードの枚数（402,466枚）だけ
2,800名のうち実際にカード情報を入力した人数	②と③を特定できないため、内訳の一部は不明
漏えいした情報が実際に悪用されたかどうか	記載なし
カード会社と決済代行会社への報告	これから進めると記載
補償や返金、再発行の費用の扱い	記載なし
公式ショップの再開時期	安全が確認でき次第案内すると記載

特に、人数が確認中の類型があることは覚えておいてください。 下4桁と有効期限の類型は、カードを登録したことのある客が対象なので、今後の発表で人数が示される可能性があります。 また、第1報から第3報までの間に、カード情報の範囲が「下4桁と有効期限」から「全16桁とセキュリティコードを含む可能性」へ広がりました。 調査が進めば、さらに内容が変わることもありえます。 第1報と第2報は、第2報で追記された1つのページ（「不正アクセスによるお客様情報流出の可能性について【2026年10月26日追記】」）にまとまっており、第3報は別のページとして出ています。 続報が別のページで出ることもあるので、同社のカスタマーサポートの「重要なお知らせ」の一覧ごと見直すのが確実です。

第1報だけを読んで「カード番号の全桁は含まれないから大丈夫」と判断していた人は、次の3点を見直してください。

1. 2026年10月21日13時55分から10月23日7時の間に、公式ショップでカード決済、決済の試み、カード情報の変更をしていないか
2. 10月29日早朝以降に、同社から個別のメールが届いていないか
3. カードの利用明細に、10月21日以降の覚えのない利用が無いか

どれか1つでも当てはまれば、カード発行会社への連絡を優先します。

原因と会社の対応

原因について、第3報は「本サイトで使用していたシステムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得されたものと認識しております」と書いています。 脆弱性とはシステムの弱点のことで、管理者権限とはサイトの設定や中身を書き換えられる強い権限のことです。 同社は、原因と思われる脆弱性は「近時報告されたPHP脆弱性ではございません」と明記しています。 同じ時期に PHP の脆弱性が話題になっていましたが、今回の件はそれとは別の弱点が使われたと説明されています。

第3報に書かれている対応は、次のとおりです。

• 2026年10月23日7時に公式ショップを閉鎖
• 別に保存していた管理システムのソースコードをもとに、原因と思われる脆弱性を改修
• システム間の接続情報一式を無効化・更新し、その他のセキュリティ強化策を実施
• 個人情報保護委員会に報告。カード会社と決済代行会社への報告はこれから進める
• カード情報すべてが漏えいした可能性のある客には、個別のメールで連絡済み
• 公式ショップの再開時期は、安全が確認でき次第、改めて案内する

第2報では、退会した元会員を含む全会員に個別のメールで案内することも発表されています。 一方、2026年10月30日時点の第3報には、補償や返金、カードの再発行にかかる費用の扱いについての記載はありません。 記載の無いことはこの記事でも書きません。 今後の発表で扱いが示される可能性もあるので、同社のカスタマーサポートのお知らせを見直してください。

公式ショップは閉鎖中ですが、10月発送予定の注文と予約商品は順次出荷していると案内されています。 予約注文の決済エラーの案内を受け取ったものの、サイトが閉じていて再決済できない人は、お問い合わせフォームから連絡するよう書かれており、注文が自動的にキャンセルになることはないとしています。 退会の手続きも、お問い合わせフォームから受け付けています。

自分が対象かを確かめる方法

対象かどうかは、次の順で確かめます。

1. グッドスマイルカンパニーから届いたメールを探す。第3報の対象には2026年10月29日早朝に連絡したと書かれている。迷惑メールのフォルダも見る
2. メールが届いていれば、どの類型（カード情報すべて、カード情報の一部、注文情報）の案内かを読む
3. メールが届いていなくても、2026年10月21日13時55分から10月23日7時の間に公式ショップで決済やカード情報の変更をした覚えがあるかを思い出す
4. 公式ショップにカードを登録していたことがあるかを確かめる（下4桁と有効期限の類型に当たる可能性がある）
5. 2026年10月22日22時20分前ごろから23時前ごろに注文したかを、注文確認のメールで確かめる

同社からのメールを確かめるときにも、注意が必要です。 今回の件を知った第三者が、グッドスマイルカンパニーを名乗る偽のメールを送ってくる可能性があります。 本物の連絡は漏えいの可能性を知らせるもので、カード番号の再入力やパスワードの入力を求める内容ではないはずです。 メールのリンクからカード情報を入力するよう求められたら、偽物を疑ってください。

公式ショップは閉鎖中のため、マイページから注文履歴を見ることはできない可能性があります。 注文の時刻は、注文の際に届いた確認メールで確かめるのが確実です。 カードの利用日時は、カード会社のアプリや会員サイトの利用明細でも分かります。

Amazon Pay や PayPal で支払った注文は、第2報で同社のサーバーにカード情報は保持されていないと説明されています。 ただし、外部決済で払っていても、注文情報の類型（7,673名）の時間帯に注文していれば、名前や住所、電話番号、メールアドレスは対象になり得ます。 支払い方法だけで対象外と決めつけないでください。

カードの利用履歴の確かめ方と再発行の考え方

同社は、カード情報の漏えいについて個別のメールを受け取った客に、身に覚えのない利用履歴がないかを確かめ、心当たりのない履歴があればすぐにカード裏面に書かれたカード発行会社へ連絡するよう求めています。 具体的には次のように進めます。

1. カード会社のアプリか会員サイトで、2026年10月21日以降の利用明細を開く
2. 自分で使った覚えのない店名、少額の決済、海外の店名が無いかを1件ずつ見る
3. 確定前の利用（速報）も表示できるなら、そちらも見る
4. 覚えのない利用があれば、カード裏面の番号に電話し、漏えいの可能性がある事案の対象としてメールを受け取ったことを伝える
5. 当面は、利用の通知（アプリのプッシュ通知やメール）を有効にして、使われたらすぐ分かるようにする

少額の決済は見落としやすい点です。 覚えのない店名であれば、金額が小さくても、自分の利用かどうかをカード会社に確かめてください。

カードを再発行するかどうかは、カード発行会社に問い合わせて決めます。 再発行すれば番号が変わり、漏えいした可能性のある番号は使えなくなりますが、公共料金や定期購入の支払い先を登録し直す手間がかかります。 再発行の手数料や、不正利用があったときの補償の扱いはカード会社ごとに違うので、この記事では推測しません。 2,800名の類型に当たる可能性があるとメールを受け取った人は、カード会社に事情を伝えて、再発行が必要かを相談するのが確実です。

下4桁と有効期限だけの類型（402,466枚）について、同社はカード名義人名とセキュリティコードの漏えいは確認されていないと書いています。 ただし、「カードの下4桁は〇〇ですね」と正しい番号を示して本物らしく見せる電話や SMS の材料には使われ得ます。 番号の一部を言い当てられても、残りの番号やセキュリティコードを伝えないでください。

偽のメール・SMS・電話への備え

同社は第3報で、漏えいした情報を悪用して、同社や公的機関、金融機関などを名乗る不審なメールや電話、SMS による詐欺やなりすましが行われる可能性があるとして、心当たりのない送信元からの連絡には対応せず、リンクがあってもクリックしないよう求めています。

注文情報の類型（7,673名）には、名前、住所、電話番号、メールアドレス、注文内容、金額がそろっています。 これがあれば、「ご注文いただいた〇〇（実際の商品名）の発送について」「ご注文〇〇円の返金手続きのご案内」のように、本当の買い物の内容を書いた偽の連絡を作れます。 返金や補償を名目にカード番号や口座番号を聞いてくる連絡は、特に疑ってください。 2026年10月30日時点で、同社は返金や補償について何も発表していません。

見分けるときの要点は次のとおりです。

来た連絡	確かめること
返金・補償を名目にカード番号や口座を聞くメール・SMS	同社は返金や補償を発表していない。リンクを押さず、同社のカスタマーサポートのお知らせを自分で開いて確かめる
「再決済をお願いします」というメール	公式ショップは閉鎖中。予約の決済エラーはお問い合わせフォームで受け付けると案内されている
カード会社を名乗る電話	いったん切り、カード裏面の番号に自分でかけ直す
宅配便の不在通知を装う SMS	住所と電話番号が対象の人は届きやすくなる。配送業者の公式アプリやサイトで追跡番号を確かめる

偽の SMS の見分け方は、スミッシング詐欺の見分け方｜SMSの本文とURLで判定する手順で、本文と URL のどこを見ればよいかを手順で説明しています。 メールの見分け方は、フィッシング詐欺メールの見分け方｜5秒で振り分ける手順と開いた後の対処が参考になります。 住所が漏れた可能性があるときに起こりうることと、防ぎ方の順番は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で整理しています。

偽のメールや SMS のリンクを開き、カード番号を入力してしまった場合は、その時点でカード発行会社に電話して、カードを止めてもらうよう相談してください。 同じページでパスワードも入力していたなら、そのパスワードを使っているサービスすべてで変更します。 リンクを開いただけで何も入力していなければ、まずページを閉じます。そのうえで、案内に従って何かのアプリを入れていないか、端末に見覚えのないアプリが増えていないかも確かめておくと安心です。 入力したかどうか思い出せないときは、入力した前提で動くほうが、後から気づくより被害を小さくできます。

公式ショップのパスワードは、第3報の漏えいの項目には含まれていません。 ただ、同じメールアドレスとパスワードをほかの通販サイトでも使っている人は、この機会にサービスごとに違うパスワードに変えておくと、別の事案で漏れたときの被害を小さくできます。

問い合わせ窓口

第3報に載っている窓口は、グッドスマイルカンパニー カスタマーサポートのお問い合わせフォームだけです。 電話番号は載っていません。 同社のお知らせ一覧には、2024年5月31日付の「お電話対応終了のお知らせ」も並んでおり、電話での受け付けは行っていないことが分かります。

窓口	内容
グッドスマイルカンパニー カスタマーサポート お問い合わせフォーム	本件の問い合わせ、予約注文の決済エラー、退会の手続き
カード裏面に書かれたカード発行会社	身に覚えのない利用の連絡、カードの再発行の相談

同社は、お問い合わせフォームは公式ショップとは別のシステムで運用していると書いています。 フォームは、同社のカスタマーサポートのサイトから開いてください。 メールや SMS に書かれたリンクから「お問い合わせフォーム」に飛ばされた場合は、本物かどうかを確かめられないので使わないでください。

問い合わせるときは、注文番号、注文した日時、支払いに使ったカードの種類（番号は書かない）、受け取ったメールの件名と受信日時を用意しておくと、やり取りが短く済みます。 カード番号やセキュリティコードをフォームに書く必要はありません。

仕事で使っている人、ほかの人に届けた人の注意

フィギュアや関連商品は、仕事の資料や撮影の小道具として買う人、取引先や家族への贈り物として買う人もいます。 こうした使い方をしていた人は、自分の情報だけでなく、ほかの人の情報も対象に入っている可能性を考えます。

まず、お届け先を自分以外にしていた場合です。 注文情報の類型（7,673名）では、お届け先とご請求先の名前、住所、電話番号が漏えいした可能性のある項目に入っています。 2026年10月22日22時20分前ごろから23時前ごろの注文で、届け先を取引先や家族にしていたなら、その人の名前と住所、電話番号も含まれている可能性があります。 届け先の相手に、同社の発表があったこと、同社を名乗る不審な連絡が来ても応じないでほしいことを伝えておくと、相手が偽の連絡に引っかかるのを防げます。

次に、会社のカードや事業用のカードで買っていた場合です。 2,800名の類型に当たる可能性があるなら、カードの管理者（経理担当や代表者）にすぐ伝え、カード会社への連絡を誰がするかを決めます。 個人事業主として事業用のカードを使っていたなら、利用明細の確認は経費の記録と合わせて行うと、覚えのない利用に気づきやすくなります。

個人情報保護法で委員会への報告や本人への通知をする立場にあるのは、客の情報を預かっていたグッドスマイルカンパニーです。 自分の買い物の情報が漏れた可能性がある、という立場の人が、届け先の相手について法的な報告をする必要があるとは一般には考えにくいです。 ただし、取引先の個人情報を業務として預かり、それを使って発送を手配していたような場合は、取引先との契約で連絡の決まりがあるかもしれません。 個別の判断は契約の内容で変わるので、契約書の該当する条項や、取引先の担当者に確かめてください。

フリーランスとして顧客の情報を扱う立場の人が、最低限そろえておきたい守りは、顧客情報を扱うフリーランスの最低ライン｜ISMS取得前の6項目で整理しています。

通販サイトでカードを使う人の守り方（運営者の視点）

フリーランスや在宅ワークの仲介を2004年から続けてきた運営者として見てきた限りでは、仕事と個人の買い物で同じカードやメールアドレスを使い回している人ほど、1つの事故の影響が広く及びます。 今回の件のように、普段使いの通販サイトで起きた漏えいでも、そのカードで仕事の経費を払っていれば、仕事の支払いまで止まることになります。

通販サイトでカードを使うときに、今回の件から引き出せる守り方を整理します。

• カードの利用通知を有効にし、使われたらすぐ分かるようにする
• ネットの買い物に使うカードを1枚に絞り、仕事の固定費の支払いと分ける
• 外部決済（Amazon Pay、PayPal など）が使える店では、それを選ぶとカード番号を店に入力せずに済む
• 使わなくなった通販サイトの登録カードは削除し、不要なら退会する
• 通販サイトのパスワードは使い回さず、二段階認証があれば設定する

外部決済の点は、第2報で同社が説明していることと重なります。 外部決済で払った注文は、同社のサーバーにカード情報が残らない仕組みだと書かれていました。 店ごとにカード番号を入力しない支払い方を選ぶだけで、決済ページを狙われたときの影響を小さくできます。

運営者として長く見てきた中でも、継続して仕事を任される人ほど、こうした小さな守りを習慣にしています。 仲介手数料が乗らない直接取引では、受け手の手取りが厚くなる分、支払いや請求のやり取りを自分で管理する比重も大きくなります。 セキュリティの知識を仕事に生かす道もあり、@SOHOのAI・マーケティング・セキュリティのお仕事では、在宅で受けられるセキュリティ関連の仕事の種類と探し方を紹介しています。

よくある質問

Q. グッドスマイルカンパニーの公式ショップで買った人は全員カード番号が漏れたのですか？

全員ではありません。カード番号の全16桁やセキュリティコードが漏えいした可能性があるのは、2026年10月21日13時55分から10月23日7時の間に決済ページでカード情報を入力した可能性のある2,800名です。カードを登録していた人は、番号下4桁と有効期限の類型（402,466枚）に当たる可能性があります。対象の人には個別にメールが送られています。

Q. メールが届いていなくてもカードの明細を確かめたほうがいいですか？

期間中に公式ショップでカード情報の変更を試みて途中でやめた人は、同社が操作の記録を持たず特定できないため、メールが届かない可能性があると第3報に書かれています。心当たりがあれば、2026年10月21日以降の利用明細を見て、覚えのない利用があればカード裏面の発行会社に連絡してください。

Q. カードは再発行したほうがいいですか？

再発行が必要かどうかは、カード発行会社に問い合わせて決めてください。全16桁とセキュリティコードが漏えいした可能性があるというメールを受け取った人は、その旨をカード会社に伝えて相談すると確実です。再発行の手数料や補償の扱いはカード会社ごとに違い、グッドスマイルカンパニーは2026年10月30日時点で補償や返金について発表していません。

Q. Amazon PayやPayPalで支払った注文も対象ですか？

第2報では、Amazon Pay や PayPal などの外部決済の注文は各決済事業者の仕組みで処理され、同社のサーバーにカード情報は保持されていないと説明されています。ただし、2026年10月22日22時20分前ごろから23時前ごろに注文していれば、支払い方法に関係なく、名前や住所、電話番号などの注文情報が漏れた可能性のある7,673名に含まれることがあります。