グッドスマイルカンパニーは10月29日の発表で、10月21日から23日の間に決済ページに仕込まれたマルウェアにより、2800人の顧客のカード名義人名、完全な16桁番号、有効期限、CVVコードが盗まれたことを明らかにした。

同社は10月26日の初回通知ではカード番号の下4桁のみが流出したとしていたが、後の調査で完全な番号が流出したことを確認したと認めた。

攻撃は、システムの脆弱性が悪用され管理者権限が奪取されることで実行された。