Витік даних Good Smile: що сталося і як безпечно замовляти фігурки

В офіційному інтернет-магазині Good Smile Company (Good Smile Company Online Store) стався витік даних: з 19 по 22 жовтня 2026 року сторонні отримали доступ до системи сайту, а з 21 по 23 жовтня на сторінці оплати карткою працювала шкідлива програма. За третім повідомленням компанії від 29 жовтня, повні дані карток (ім'я власника, усі 16 цифр, термін дії та код безпеки) могли потрапити до зловмисників приблизно у 2 800 клієнтів, які в цей проміжок вводили картку на сайті. Магазин закритий з 23 жовтня, дату відкриття компанія поки не назвала. Окремі магазини Good Smile Company US, Європи та Великої Британії, за словами GSC, працюють на інших системах і не постраждали. Якщо ви купували в японському магазині GSC, головне зараз: стежити за випискою по картці й не відповідати на підозрілі листи та дзвінки.

Я Пульсар-тян, і спершу, чесно, трохи захвилювалася, бо половина моєї полиці — це Nendoroid. Потім заварила чай, прочитала всі три повідомлення Good Smile і статтю ANN, і стало спокійніше. Приводу для паніки немає, але є привід для кількох простих звичок. Розкладу все по поличках: що сталося, кого зачепило, що не зачепило і як далі замовляти фігурки без нервів.

Коротко: що сталося з магазином Good Smile

За словами компанії, вранці 23 жовтня за японським часом її попередив підрядник, який розробляє й обслуговує сайт: у систему магазину заходив сторонній. GSC закрила сайт того ж дня о 7:00 і почала розбиратися. Причиною компанія називає вразливість у частині системи, через яку зловмисник незаконно отримав права адміністратора. Окремо уточнюється, що це не та вразливість PHP, про яку нещодавно писали в новинах.

Спершу, у повідомленні від 23 жовтня та його доповненні від 26-го, йшлося лише про часткові дані карток. 28 жовтня ввечері з'ясувалося, що на сторінці оплати карткою стояла шкідлива програма, і в третьому повідомленні від 29 жовтня картина стала серйознішою. Компанія сама вибачилася за те, що інформація змінилася під час розслідування.

Хронологія за повідомленнями GSC

Усі дати й час нижче вказано за японським часом, як у повідомленнях компанії.

Кого зачепило: три групи клієнтів

У третьому повідомленні Good Smile ділить постраждалих на три групи. Читайте уважно, бо ризики в них різні.

1. Повні дані картки: близько 2 800 людей

Це всі, хто міг вводити картку на сторінці оплати з 13:55 21 жовтня до 7:00 23 жовтня. Під загрозою ім'я власника картки, номер повністю, термін дії та код безпеки. Усередині цієї групи:

• 384 людини, які оформили замовлення з оплатою карткою;

• ті, хто почав оплату карткою, але не завершив її;

• ті, хто увійшов в акаунт і поклав товари в кошик, але до оплати не дійшов (компанія вважає, що їхні дані карток не витекли, але написала й їм, бо система не дає відрізнити їх від попередньої групи);

• 185 людей, які після передзамовлення змінили картку для оплати.

Ще під ризиком ті, хто намагався змінити картку після замовлення, але не завершив. Їх GSC обчислити не може й просить таких покупців самостійно дотримуватися порад щодо безпеки.

2. Часткові дані картки: 402 466 карток

У всіх, хто колись зберігав картку на сайті, могли побачити останні чотири цифри номера й термін дії. Витоку імені власника й коду безпеки в цій групі компанія не виявила, а пов'язані з цими картками дані акаунтів, за її словами, не витекли. Кількість карток без дублів — 402 466, кількість людей ще уточнюється.

3. Дані замовлень: 7 673 клієнти

Це ті, хто оформлював замовлення 22 жовтня приблизно з 22:20 до 23:00. Під ризиком ім'я, адреса й телефон для доставки та оплати, електронна пошта, склад і сума замовлення та спосіб оплати. Реально переглянули 202 замовлення, але система не дає точно сказати які, тому компанія вважає зачепленими всіх 7 673 клієнтів цього вікна.

У другому повідомленні GSC також писала, що в зареєстрованих користувачів могли переглянути базові дані акаунта: ім'я, його читання, стать, адресу, телефон і пошту, а також історію замовлень. На цю версію спирався ANN у своїй новині від 28 жовтня, ще до третього оновлення.

Що не зачеплено

Тут добрі новини, і вони важливі, щоб не панікувати даремно. За словами Good Smile:

• замовлення, оплачені через зовнішні сервіси на кшталт Amazon Pay і PayPal, проходять через їхню власну авторизацію, дані таких карток GSC у себе не зберігає, тому їх не могли побачити;

• Good Smile Company US, Good Smile Company Europe разом з її онлайн-магазином, Good Smile Company UK, сервіс Nendoroid Face Maker і магазин GSC на Rakuten працюють на окремих системах і не постраждали;

• форма звернення до підтримки теж працює на окремій системі.

І найприємніше для колекціонерів: компанія продовжує обробляти й відправляти вже оформлені замовлення та передзамовлення, заплановані на жовтень. Свіжий приклад — відвантаження Good Smile 27 жовтня з Nendoroid Тето, Міку та Фрірен. Фігурки нікуди не поділися, проблема стосується сайту й платіжних даних.

Що робить Good Smile Company

• усунула вразливість, яку вважає причиною, використавши окремо збережену копію коду системи;

• оновила всі дані підключення між частинами системи й посилила захист;

• повідомила про інцидент японську Комісію із захисту персональної інформації та збирається повідомити емітентів карток і платіжних провайдерів;

• написала кожному, чиї повні дані картки могли витекти;

• обіцяє окремо оголосити дату відкриття магазину, коли переконається в його безпеці;

• просить тих, хто отримав сповіщення про помилку оплати передзамовлення, писати в підтримку: такі замовлення автоматично не скасують;

• приймає запити на видалення акаунта через форму підтримки.

Якщо ви купували в японському магазині GSC: план на сьогодні

Це не моя фантазія, а те, про що просить сама компанія, плюс найбазовіші кроки, які радять банки в таких випадках:

1. Загляньте в пошту. Якщо прийшов лист від GSC про можливий витік повних даних картки, поставтеся до нього серйозно.

2. Перегляньте виписку по картці. Якщо бачите операції, яких не робили, одразу телефонуйте в банк за номером зі зворотного боку картки, а не за номером із листа чи SMS.

3. Подумайте про перевипуск картки. Якщо картка потрапила в групу з повними даними, перевипуск — найспокійніший варіант. Рішення за вами й вашим банком.

4. Увімкніть сповіщення про кожну операцію в банківському застосунку, якщо їх ще немає.

5. Змініть пароль, якщо такий самий пароль стоїть на інших сайтах. Сам пароль у повідомленнях не згадується, але однакові паролі — погана ідея в будь-якому разі.

Обережно, шахраї: що буде після витоку

Good Smile прямо попереджає: дані, що витекли, можуть використати для фішингу. Зловмисники пишуть листи, телефонують або надсилають SMS від імені самої компанії, держорганів, банків чи інших організацій. Що я для себе запам'ятала:

• не відповідайте незнайомим відправникам і не переходьте за посиланнями з таких повідомлень;

• ніхто нормальний не просить код із SMS, CVV чи пароль телефоном, ні банк, ні магазин;

• листи «про компенсацію», «про повернення грошей» або «про знижку для постраждалих» — класична наживка, особливо якщо там поспіх і посилання;

• те, що відправник знає ваше ім'я, адресу й склад замовлення, ще не означає, що пише справжня компанія: частина таких даних якраз могла витекти.

Окрема історія — фейкові магазини з «дуже дешевими Nendoroid», які зазвичай з'являються довкола гучних новин, тим паче поки японський сайт GSC закритий. Якщо ціна підозріло низька, а продавець незрозумілий, найімовірніше, це або обман, або підробка.

Як спокійно замовляти фігурки далі: мої правила

Витік стався в офіційному магазині виробника, а не на якомусь сумнівному сайті, і це добре нагадування: захищатися треба на своєму боці, хоч би де ви купували. Мої особисті звички:

• Окрема картка для онлайн-покупок. Віртуальна або додаткова картка з невеликим лімітом рятує нерви за будь-якого витоку.

• Не зберігайте картку на сайтах, якщо без цього можна обійтися. Так, вводити заново лінь, зате в базі її не буде.

• Підтвердження платежів кодом із банківського застосунку чи SMS має бути ввімкнене завжди.

• Адресу сайту вводьте самі або із закладок, а не за посиланням із листа.

• Унікальний пароль для кожного магазину і, де є, вхід із двофакторним захистом.

• Купуйте оригінали в зрозумілих продавців і звіряйте назву версії фігурки з анонсом виробника.

Про останній пункт у нас є докладні гайди: «Оригінал чи рекаст: як зрозуміти, яку фігурку ви купуєте» та «Оригінал чи підробка: прикмети для кожного бренду». А якщо хочеться розібратися, чим узагалі славиться компанія, загляньте в статтю про Good Smile Company, Nendoroid, figma і POP UP PARADE.

А самі фігурки Good Smile тепер брати страшно?

Ні. Витік — це історія про сайт і платіжні дані, а не про якість фігурок чи їхню справжність. Nendoroid лишаються Nendoroid, і моя Nendoroid Фрірен від цього не стала гіршою. Усі фігурки бренду можна подивитися на сторінці Good Smile Company, окремо є добірки Nendoroid і POP UP PARADE, наприклад POP UP PARADE Маомао. А щоб розуміти, як влаштовані передзамовлення й чим лінійки відрізняються одна від одної, знадобиться гайд про види аніме-фігурок і нюанси замовлення.

Часті питання про витік даних Good Smile

Чи безпечно зараз замовляти Nendoroid?

Самі фігурки тут ні до чого. Японський магазин GSC закритий до окремого оголошення, а магазини GSC у США, Європі та Великій Британії, за словами компанії, працюють на окремих системах і не постраждали. Хоч би де ви купували, допомагають прості звички: окрема картка, підтвердження платежів і обережність із листами.

Чиї дані карток витекли повністю?

Близько 2 800 клієнтів, які вводили картку на сторінці оплати з 13:55 21 жовтня до 7:00 23 жовтня за японським часом. Компанія написала їм особисто.

Чи витік код CVV?

Для групи з приблизно 2 800 людей — так, за третім повідомленням це можливо. Для решти, хто зберігав картку на сайті, йдеться лише про останні чотири цифри й термін дії.

Якщо я платив через PayPal, є ризик?

За словами GSC, дані карток під час оплати через PayPal чи Amazon Pay компанія не зберігає, і їх не могли побачити. Інші дані замовлення, наприклад адреса, при цьому могли потрапити у витік, якщо замовлення було в зачеплений проміжок.

Коли відкриється магазин Good Smile?

Дату компанія не назвала. GSC обіцяє оголосити її окремо, коли переконається в безпеці сайту.

Чи скасують моє передзамовлення через помилку оплати?

Ні. GSC пише, що замовлення з помилкою оплати автоматично не скасовуються, а в разі проблем треба писати через форму підтримки.

Чи відправлятимуть уже оформлені замовлення?

Так, компанія продовжує обробляти й відправляти замовлення та передзамовлення, заплановані на жовтень.

Що робити, якщо прийшов дивний лист «від Good Smile»?

Не переходьте за посиланнями й не відповідайте. Відкрийте сайт підтримки самі, через закладку чи пошук, а якщо сумніваєтеся в операціях по картці, телефонуйте в банк за номером із картки.

Мій підсумок

Неприємно, прикро, але без катастрофи для тих, хто тримає базову цифрову гігієну. Good Smile визнала помилки, оновлює інформацію й пише людям напряму, а нам лишається спокійно стежити за картками й не вестися на шахраїв. Я, наприклад, сьогодні нарешті завела окрему картку для фігурок. Гаманець схвалює, полиця теж.