Утечка данных Good Smile: что случилось и как безопасно заказывать фигурки

В официальном интернет-магазине Good Smile Company (Good Smile Company Online Store) произошла утечка данных: с 19 по 22 октября 2026 года посторонние получили доступ к системе сайта, а с 21 по 23 октября на странице оплаты картой работала вредоносная программа. По третьему уведомлению компании от 29 октября, полные данные карт (имя владельца, все 16 цифр, срок действия и код безопасности) могли попасть к злоумышленникам примерно у 2 800 клиентов, которые в этот промежуток вводили карту на сайте. Магазин закрыт с 23 октября, дату открытия компания пока не назвала. Отдельные магазины Good Smile Company US, Европы и Великобритании, по словам GSC, работают на других системах и не пострадали. Если вы покупали в японском магазине GSC, главное сейчас: следить за выпиской по карте и не отвечать на подозрительные письма и звонки.

Я Пульсар-тян, и я сначала, если честно, немного поволновалась, потому что половина моей полки — это Nendoroid. Потом заварила чай, прочитала все три уведомления Good Smile и статью ANN, и стало спокойнее. Здесь нет повода для паники, но есть повод для пары простых привычек. Разложу по полочкам: что случилось, кого задело, что не задело и как дальше заказывать фигурки без нервов.

Коротко: что случилось с магазином Good Smile

По словам компании, утром 23 октября по японскому времени её предупредил подрядчик, который разрабатывает и обслуживает сайт: в систему магазина заходил посторонний. GSC закрыла сайт в тот же день в 7:00 и начала разбираться. Причиной компания называет уязвимость в части системы, через которую злоумышленник незаконно получил права администратора. Отдельно уточняется, что это не та уязвимость PHP, о которой недавно писали в новостях.

Сначала, в уведомлении от 23 октября и его дополнении от 26-го, речь шла только о частичных данных карт. 28 октября вечером выяснилось, что на странице оплаты картой стояла вредоносная программа, и в третьем уведомлении от 29 октября картина стала серьёзнее. Компания сама извинилась за то, что информация изменилась по ходу расследования.

Хронология по уведомлениям GSC

Все даты и время ниже указаны по японскому времени, как в уведомлениях компании.

Кого затронуло: три группы клиентов

В третьем уведомлении Good Smile делит пострадавших на три группы. Читайте внимательно, потому что риски у них разные.

1. Полные данные карты: около 2 800 человек

Это все, кто мог вводить карту на странице оплаты с 13:55 21 октября до 7:00 23 октября. Под угрозой имя владельца карты, номер целиком, срок действия и код безопасности. Внутри этой группы:

• 384 человека, которые оформили заказ с оплатой картой;

• те, кто начал оплату картой, но не завершил её;

• те, кто вошёл в аккаунт и положил товары в корзину, но до оплаты не дошёл (компания считает, что их данные карт не утекли, но написала и им, потому что система не позволяет отличить их от предыдущей группы);

• 185 человек, которые после предзаказа поменяли карту для оплаты.

Ещё под риском те, кто пытался сменить карту после заказа, но не закончил. Их GSC вычислить не может и просит таких покупателей самим следовать советам по безопасности.

2. Частичные данные карты: 402 466 карт

У всех, кто когда-либо сохранял карту на сайте, могли увидеть последние четыре цифры номера и срок действия. Утечки имени владельца и кода безопасности в этой группе компания не обнаружила, а связанные с этими картами данные аккаунтов, по её словам, не утекли. Число карт без дублей — 402 466, количество людей ещё уточняется.

3. Данные заказов: 7 673 клиента

Это те, кто оформлял заказ 22 октября примерно с 22:20 до 23:00. Под риском имя, адрес и телефон для доставки и оплаты, электронная почта, состав и сумма заказа и способ оплаты. Реально просмотрены были 202 заказа, но система не даёт точно сказать какие, поэтому компания считает затронутыми всех 7 673 клиентов этого окна.

Во втором уведомлении GSC также писала, что у зарегистрированных пользователей могли просмотреть базовые данные аккаунта: имя, его чтение, пол, адрес, телефон и почту, а также историю заказов. На эту версию опирался ANN в своей новости от 28 октября, ещё до третьего обновления.

Что не затронуто

Тут хорошие новости, и они важны, чтобы не паниковать зря. По словам Good Smile:

• заказы, оплаченные через внешние сервисы вроде Amazon Pay и PayPal, проходят через их собственную авторизацию, данные таких карт GSC у себя не хранит, поэтому их не могли увидеть;

• Good Smile Company US, Good Smile Company Europe вместе с её онлайн-магазином, Good Smile Company UK, сервис Nendoroid Face Maker и магазин GSC на Rakuten работают на отдельных системах и не пострадали;

• форма обращения в поддержку тоже работает на отдельной системе.

И самое приятное для коллекционеров: компания продолжает обрабатывать и отправлять уже оформленные заказы и предзаказы, запланированные на октябрь. Свежий пример — отгрузка Good Smile 27 октября с Nendoroid Тето, Мику и Фрирен. Фигурки никуда не делись, проблема касается сайта и платёжных данных.

Что делает Good Smile Company

• устранила уязвимость, которую считает причиной, используя отдельно хранившуюся копию кода системы;

• обновила все данные подключения между частями системы и усилила защиту;

• сообщила об инциденте в японскую Комиссию по защите персональной информации и собирается сообщить эмитентам карт и платёжным провайдерам;

• написала каждому, чьи полные данные карты могли утечь;

• обещает отдельно объявить дату открытия магазина, когда убедится в его безопасности;

• просит тех, кто получил уведомление об ошибке оплаты предзаказа, писать в поддержку: такие заказы автоматически не отменят;

• принимает запросы на удаление аккаунта через форму поддержки.

Если вы покупали в японском магазине GSC: план на сегодня

Это не моя фантазия, а то, о чём просит сама компания, плюс самые базовые шаги, которые советуют банки в таких случаях:

1. Посмотрите почту. Если пришло письмо от GSC о возможной утечке полных данных карты, отнеситесь к нему серьёзно.

2. Просмотрите выписку по карте. Если видите операции, которых не совершали, сразу звоните в банк по номеру с обратной стороны карты, а не по номеру из письма или SMS.

3. Подумайте о перевыпуске карты. Если карта попала в группу с полными данными, перевыпуск — самый спокойный вариант. Решение за вами и вашим банком.

4. Включите уведомления о каждой операции в банковском приложении, если их ещё нет.

5. Смените пароль, если такой же пароль стоит на других сайтах. Сам пароль в уведомлениях не упоминается, но повторяющиеся пароли — плохая идея в любом случае.

Осторожно, мошенники: что будет после утечки

Good Smile прямо предупреждает: утёкшие данные могут использовать для фишинга. Злоумышленники пишут письма, звонят или отправляют SMS от имени самой компании, госорганов, банков или других организаций. Что я для себя запомнила:

• не отвечайте незнакомым отправителям и не переходите по ссылкам из таких сообщений;

• никто нормальный не просит код из SMS, CVV или пароль по телефону, ни банк, ни магазин;

• письма «о компенсации», «о возврате денег» или «о скидке для пострадавших» — классическая наживка, особенно если там срочность и ссылка;

• знание вашего имени, адреса и состава заказа ещё не значит, что пишет настоящая компания: часть таких данных как раз могла утечь.

Отдельная история — фейковые магазины с «очень дешёвыми Nendoroid», которые обычно появляются вокруг громких новостей, тем более пока японский сайт GSC закрыт. Если цена подозрительно низкая, а продавец непонятный, скорее всего, это либо обман, либо подделка.

Как спокойно заказывать фигурки дальше: мои правила

Утечка случилась у официального магазина производителя, а не у какого-то сомнительного сайта, и это хорошее напоминание: защищаться нужно на своей стороне, где бы вы ни покупали. Мои личные привычки:

• Отдельная карта для онлайн-покупок. Виртуальная или дополнительная карта с небольшим лимитом спасает нервы при любой утечке.

• Не сохраняйте карту на сайтах, если без этого можно обойтись. Да, вводить заново лень, зато в базе её не будет.

• Подтверждение платежей кодом из банковского приложения или SMS должно быть включено всегда.

• Адрес сайта вводите сами или из закладок, а не по ссылке из письма.

• Уникальный пароль для каждого магазина и, где есть, вход с двухфакторной защитой.

• Покупайте оригиналы у понятных продавцов и сверяйте название версии фигурки с анонсом производителя.

Про последний пункт у нас есть подробные гайды: «Оригинал или рекаст: как понять, какую фигурку вы покупаете» и «Оригинал или подделка: приметы для каждого бренда». А если хочется разобраться, чем вообще знаменита компания, загляните в статью про Good Smile Company, Nendoroid, figma и POP UP PARADE.

А сами фигурки Good Smile теперь брать страшно?

Нет. Утечка — это история про сайт и платёжные данные, а не про качество фигурок или их подлинность. Nendoroid остаются Nendoroid, и моя Nendoroid Фрирен от этого не стала хуже. Все фигурки бренда можно посмотреть на странице Good Smile Company, отдельно есть подборки Nendoroid и POP UP PARADE, например POP UP PARADE Маомао. А чтобы понимать, как устроены предзаказы и чем линейки отличаются друг от друга, пригодится гайд про виды аниме-фигурок и нюансы заказа.

Частые вопросы об утечке данных Good Smile

Безопасно ли сейчас заказывать Nendoroid?

Сами фигурки тут ни при чём. Японский магазин GSC закрыт до отдельного объявления, а магазины GSC в США, Европе и Великобритании, по словам компании, работают на отдельных системах и не пострадали. Где бы вы ни покупали, помогают простые привычки: отдельная карта, подтверждение платежей и осторожность с письмами.

Чьи данные карт утекли полностью?

Около 2 800 клиентов, которые вводили карту на странице оплаты с 13:55 21 октября до 7:00 23 октября по японскому времени. Компания написала им лично.

Утёк ли код CVV?

Для группы из примерно 2 800 человек — да, по третьему уведомлению это возможно. Для остальных, у кого карта была сохранена на сайте, речь только о последних четырёх цифрах и сроке действия.

Если я платил через PayPal, есть риск?

По словам GSC, данные карт при оплате через PayPal или Amazon Pay компания не хранит, и их не могли увидеть. Другие данные заказа, например адрес, при этом могли попасть в утечку, если заказ был в затронутый промежуток.

Когда откроется магазин Good Smile?

Дату компания не назвала. GSC обещает объявить её отдельно, когда убедится в безопасности сайта.

Отменят ли мой предзаказ из-за ошибки оплаты?

Нет. GSC пишет, что заказы с ошибкой оплаты автоматически не отменяются, а при проблемах нужно писать через форму поддержки.

Будут ли отправлять уже оформленные заказы?

Да, компания продолжает обрабатывать и отправлять заказы и предзаказы, запланированные на октябрь.

Что делать, если пришло странное письмо «от Good Smile»?

Не переходите по ссылкам и не отвечайте. Откройте сайт поддержки сами, через закладку или поиск, и если сомневаетесь в операциях по карте, звоните в банк по номеру с карты.

Мой итог

Неприятно, обидно, но без катастрофы для тех, кто держит базовую цифровую гигиену. Good Smile признала ошибки, обновляет информацию и пишет людям напрямую, а нам остаётся спокойно следить за картами и не вестись на мошенников. Я, например, сегодня наконец завела отдельную карту для фигурок. Кошелёк одобряет, полка тоже.