GMOリサーチ＆AI「infoQ」 ― 会員情報流出とポイント不正交換

要点

発表された事実

GMOリサーチ＆AIは2026年10月5日、運営するアンケートサイト「infoQ」が第三者の不正アクセスを受け、会員の個人情報が外部に持ち出されたと公表した。一部会員のポイントが本人の意思によらずAmazonギフトコードに交換されたことも確認した（同社のお知らせ）。親会社のGMOプロダクトプラットフォームも10月6日に適時開示した（適時開示PDF）。
不正アクセスは10月2日（金）以降。10月3日午前に会員からの問い合わせを受けて調査し、確認した（同上）。
対象は最大948,498件で、10月5日時点で同社が保有する個人情報の全件。項目は氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、パスワード（暗号化されたもの）、会員ID、ニックネーム・保有ポイント数・最終回答日などの利用状況（同上）。
611件・2,869,500円分のポイントがAmazonギフトコードに不正に交換された。同社が全額を補填する（同上）。
原因は「当社サイトで使用していたソフトウェアの脆弱性を悪用して侵入」（同上）。
infoQはサービスを停止中。停止後のサイトでは当初「緊急メンテナンス」と案内していた（同上）。
【2026-10-13追記】日本経済新聞（10月9日）によると、GMOインターネットグループの熊谷正寿会長兼社長は10月9日、自身のXで、グループ全社の全サービスを緊急点検し、約8000人の従業員への再教育も行うと明らかにした。情報漏洩を「重く受け止める」とし、不正侵入を防げなかったことを陳謝した（日本経済新聞）。
【2026-10-14追記】第2報で、外部に持ち出された個人情報を89万4,082件と確定した。第1報の最大94万8,498件の内訳は、個人情報を含む持ち出し89万4,082件、個人情報を含まない持ち出し9,068件（退会から2か月以上経過し削除済みの記録）、持ち出されていなかったもの4万5,348件。第1報時点で全会員にメールしたため、連絡を受けた人の中に対象外も含まれる。10月7日に全会員のパスワードを無効化し、サービス再開時に手続きを案内する。ポイント不正交換は611件・計2,869,500円で変更なし（全額補填）。原因は引き続き「サイトで使用していたソフトウェアの脆弱性」で、製品名は非公表（第2報）。

わかったこと

【2026-10-14】外部に持ち出された個人情報の件数は89万4,082件で確定（第2報）。
【2026-10-14】全会員のパスワードを10月7日に無効化した（同）。
【2026-10-14】第1報の最大94万8,498件のうち、持ち出されていなかったものが4万5,348件、個人情報を含まない持ち出しが9,068件あった（同）。

わかっていないこと

悪用されたソフトウェアの名前と脆弱性（CVEの有無、修正版が出ていたか）
不正アクセスの開始日時（第2報も「10月2日以降」）と、ポイント交換がいつからいつまで行われたか
攻撃者がどうやってポイント交換を実行したか（会員アカウントへのログインか、サーバー側での直接操作か）
「暗号化されたパスワード」の方式（可逆な暗号化か、ハッシュ化か）
持ち出されたデータの公開・不正利用の有無
サービス再開の時期、調査結果と再発防止策（「改めてお知らせ」としている）
業績への影響（精査中）

関係しそうな既知の手口

（考察）換金性のあるポイントを持つ会員サイトは、侵入後にギフトコードへ交換して現金化する動機を生む。今回は情報の持ち出しとポイント交換が同時に起きており、侵入者がサイトの機能を操作できる位置まで入り込んだことを示している可能性がある。

概要

アンケートに答えるとポイントがもらえるGMOリサーチ＆AIの「infoQ」で、ソフトウェアの脆弱性を突いた不正アクセスにより、会員の個人情報89万4,082件が外部に持ち出された（第2報で確定。第1報の最大約95万件から下方修正）。
611件のポイント計286万9500円分が本人の意思によらずAmazonギフトコードに交換され、会員からの問い合わせが発覚のきっかけになった。
発覚当日のうちにポイント交換を止め、攻撃経路を遮断し、サイトを停止した。再開時期は未定。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-02（金）以降	第三者による不正アクセス（その後の調査で判明）
2026-10-03（土）午前	会員からの問い合わせを受けて調査し、不正アクセスを確認
2026-10-03 11:24	ポイント交換（Amazonギフトコード、GMOポイント）を停止
2026-10-03 14:15	攻撃経路を遮断
2026-10-03 15:00	外部からinfoQへのアクセスを遮断（サービス停止）。サイト上は「緊急メンテナンス」と案内
2026-10-05（月）	個人情報保護委員会へ報告。公式サイトでお詫びとお知らせを公表し、対象会員へ順次メールで連絡開始
2026-10-06	親会社GMOプロダクトプラットフォームが適時開示。業績への影響は精査中。全会員へパスワード変更依頼メールを順次送付。警察へ相談（第2報）
2026-10-07	全会員のパスワードを無効化（第2報）
2026-10-09（金）	GMOインターネットグループの熊谷会長兼社長がXで、グループ全社の全サービスの緊急点検と約8000人の従業員の再教育を表明（日本経済新聞）
2026-10-14（水）	第2報。外部に持ち出された個人情報を89万4,082件と確定。全会員パスワード無効化（10月7日実施）を公表。ポイント不正交換は611件・2,869,500円で変更なし（第2報）

発表内容の整理

事実

対象

区分	内容
件数	【2026-10-14追記】外部に持ち出された個人情報89万4,082件（確定）。第1報の最大94万8,498件の内訳は、個人情報あり持ち出し89万4,082件／個人情報なし持ち出し9,068件／未持ち出し4万5,348件
持ち出された情報	氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、パスワード（暗号化されたもの）、会員ID、その他の会員登録情報（ニックネーム、保有ポイント数、最終回答日等）
保有していない情報	クレジットカード情報、マイナンバー
ポイントの不正交換	611件・2,869,500円分がAmazonギフトコードに交換。全額補填（第2報でも変更なし）
パスワード	【2026-10-14追記】10月7日に全会員のパスワードを無効化。再開時に手続きを案内

影響範囲

infoQの停止で、同社が受託している調査の一部に影響が出ている。今回の対象に取引先の情報は含まれていない。
infoQ以外の同社サービスへの不正アクセスは確認されていない。

会員への案内

パスワードは暗号化されているが、infoQと同じパスワードをほかのサービスでも使っている場合は、そのサービスのパスワードを変更するよう勧めている。
同社やinfoQを装った不審なメール、SMS、電話に注意し、身に覚えのないポイント交換があれば問い合わせ窓口に連絡するよう求めている。
調査結果を踏まえて再発防止策を講じ、安全性を確認したうえでサービスを再開するとしている。

考察

発覚は会員からの問い合わせが起点で、そこから約3時間半でポイント交換を止め、約6時間でサイトを止めている。初動は速いが、検知は会員の気づきに頼った形になった。ポイント交換のような換金に直結する処理には、短時間に交換が集中する、普段と違う接続元から交換される、といった異常を運営側で捉える仕組みが要る。

持ち出しが「保有する全件」に及んでいる点から、侵入者は個々の会員のアカウントを乗っ取ったというより、会員データベースそのものに届く位置まで入り込んだと読める。そうだとすると、ポイント交換も会員になりすましてログインしたのではなく、サーバー側で直接操作された可能性がある。会社はこの点を説明していない。

停止直後に「緊急メンテナンス」と案内し、のちに不正アクセス対応だったと説明し直している。会員はポイント交換の可否を気にするサービスであり、早い段階で「不正アクセスの疑いで止めている」と伝えれば、会員が自分の口座を確認するきっかけにもなったと考えられる。

関係しそうな既知の手口

考察

公開Webアプリで使うソフトウェア（CMS、フレームワーク、プラグイン、分析・管理ツールなど）の既知の脆弱性を突いて侵入し、データベースを丸ごと持ち出す流れは、最近の国内事例でも繰り返し見られる。同時期には吉野家HD／ApplyNow（分析ツールの脆弱性）や、集英社 HAPPY PLUS COMMUNITY（CMSの設定不備）がある。infoQで使われていたソフトウェアは公表されていない。
ポイントやギフトコードを扱うサイトは、情報の持ち出しだけでなく、交換機能の悪用による直接の金銭被害につながる。リスト型攻撃（別サービスで漏れたID・パスワードの使い回し）でアカウントを乗っ取り、ポイントを交換する手口はよく知られているが、本件は会社が「ソフトウェアの脆弱性を悪用して侵入」と説明しており、別の経路とみられる。
10月2日から3日にかけては、焼肉きんぐ公式アプリ、大和証券の委託先スカラコミュニケーションズ、ミスターマックスでも不正アクセスが発生、または確認されている。日付が重なっているが、共通の攻撃者や製品があるかは、どの社も示していない。

利用者・運用者がいまできること

事実（発表に基づく）

infoQと同じパスワードをほかのサービスで使っている場合は、そのサービスのパスワードを変える。
infoQやGMOリサーチ＆AIを装った不審なメール・SMS・電話に注意する。身に覚えのないポイント交換があれば、infoQサポートセンターに連絡する。

考察（利用者向け）

今回の流出には住所・生年月日・電話番号がそろっている。宛名と住所入りの郵便やSMSなど、本物らしく見える詐欺に使われうる。
アンケートサイトは複数登録している人が多い。同じメールアドレスとパスワードの組み合わせを使っているほかのポイントサイトも、あわせてパスワードを変え、多要素認証があれば設定する。

考察（ポイント・ギフトコードを扱うサイトの運用者向け）

公開サイトで使っているソフトウェアと版数を一覧にし、脆弱性情報と照らし合わせる運用を回す。
ギフトコードへの交換に、件数・金額の上限、短時間の集中や新しい接続元からの交換の検知、必要に応じた追加認証を入れる。
会員データベースへの接続元を、アプリサーバーなど必要なものに限る。

参考リンク

原文をGitHubで読む ↗