日本模型及手辦商 Good Smile Company（グッドスマイルカンパニー）10 月 29 日發出第三份事故通告，指官方網店遭入侵後，信用卡結帳頁曾被植入惡意程式，最多 2,800 名客戶的持卡人姓名、16 位完整卡號、到期日及安全碼可能外洩。公司早前兩份通告只指部分卡號及到期日或遭讀取，網上有評論批評首份通告「虛報」，但新通告顯示，結帳頁被植入程式一事至 10 月 28 日晚才被發現。
入侵持續近四日 結帳頁惡意程式存在約 41 小時
根據 Good Smile 的通告，負責網站開發及維護的外判商在 10 月 23 日早上 6 時許（日本時間，下同）通知公司，網站由 10 月 19 日下午 3 時許至 22 日晚上 11 時前遭第三方入侵，公司於 23 日早上 7 時關閉網站。攻擊者利用系統其中一部分的漏洞，非法取得管理員權限，其間多次瀏覽網站內的客戶資料，並於 10 月 21 日下午 1 時 55 分至 23 日早上 7 時，在信用卡結帳頁植入惡意程式。公司表示，漏洞並非近期公布的 PHP 漏洞。
受影響的 2,800 人包括期內以信用卡完成付款的 384 人、在預訂後更改付款信用卡的 185 人，以及嘗試付款但未完成、或登入後將貨品放入購物車但未進入付款程序的客戶。公司承認，由於網站系統沒有保留操作紀錄，無法分辨後兩類客戶，因此向所有可能受影響的人逐一發電郵通知；而嘗試更改付款卡但未完成的客戶亦可能受影響，但同樣無法識別。
40 萬張已登記信用卡末四位外洩 7,673 張訂單資料或被讀取
另外，曾在網站登記信用卡的客戶，卡號末四位及到期日亦可能外洩，涉及 402,466 張信用卡（已剔除重複），受影響客戶人數仍在確認中。公司指這批信用卡的持卡人姓名及安全碼未有外洩跡象，與卡相關的會員資料亦未有外洩。至於 10 月 22 日晚上 10 時 20 分前後至 11 時前下單的 7,673 張訂單，收件人及帳單姓名、地址、電話、電郵、訂單內容、金額及付款方式均可能被讀取；實際被瀏覽的訂單有 202 張，但系統無法準確識別是哪些。
公司表示已按另行保存的管理系統原始碼修補相關漏洞，並將組成系統的各個子系統之間的連線資料全部作廢及更新，亦已向日本個人資料保護委員會報告，之後會再向信用卡公司及支付服務商報告。以 Amazon Pay 或 PayPal 付款的訂單，以及美國、歐洲、英國網店和樂天市場分店，均使用獨立系統，不受事件影響。網站重開日期未定。
安全碼並非從資料庫流出 結帳頁本身成為攻擊目標
事件在日本 X 平台引起廣泛討論。有網民質疑網店為何會保存安全碼，但按公司通告，完整卡資料外洩的原因是結帳頁被植入惡意程式，即客戶在頁面輸入資料時被即時截取，而不是公司資料庫保存了安全碼；網站登記卡資料中外洩的只有末四位及到期日。有網民亦在討論中指出，這類攻擊與網站有沒有保存卡資料無關，只要在受感染的頁面輸入，全部資料都會被取去。
這種在網頁植入程式竊取付款資料的手法，業界稱為 e-skimming 或 Magecart 式攻擊。PCI DSS v4.0.1 第 3.3.1 及 3.3.1.2 條本身已禁止商戶在授權完成後保存安全碼，即使加密亦不可以；但這次事件顯示，單靠不保存並不足夠。PCI 安全標準委員會在 v4.0 加入第 6.4.3 條，要求商戶確認付款頁上每個在瀏覽器執行的 script 均獲授權、完整性受保障，並備有清單及理由；第 11.6.1 條則要求部署更改及篡改偵測機制，至少每星期檢查一次付款頁的 script 及安全相關 HTTP header，有未經授權更改時向負責人員發出警報。兩條要求在 2025 年 3 月 31 日起正式強制執行。
Good Smile 事件亦涉及其他企業常見的弱點：入侵由外判維護商發現，系統沒有保留足以識別受影響客戶的操作紀錄，管理員權限一旦失守，攻擊者便可同時讀取客戶資料及修改結帳頁。對自建網店、或將網店交由外判商維護的企業而言，付款頁 script 監察、管理後台權限及日誌保存，都值得在今次事件後重新檢視。
資料來源：Good Smile Company 第三份通告（日文）、Good Smile Company 第三份通告（英文）、Good Smile Company 10 月 26 日更新通告、ITmedia NEWS、PCI Security Standards Council、X
