GMOインターネットグループのGMOリサーチ&AIは2026年10月5日、同社が運営するアンケートサイト「infoQ」が第三者による不正アクセスを受け、会員の個人情報が外部に持ち出されたことを確認したと発表した。対象は同社が保有する会員の個人情報の全件に当たる最大94万8498件で、氏名、住所、生年月日、メールアドレス、電話番号、暗号化されたパスワードなどが含まれる。あわせて、一部の会員のポイント（611件、計286万9500円分）が、本人の意思によらずAmazonギフトコードに交換されていたことも確認した。不正に交換されたポイントは同社が全額を補填する。原因は、サイトで使っていたソフトウェアの脆弱性（セキュリティ上の欠陥）を悪用されて侵入されたことだとしている。
会員の問い合わせから発覚、同日中にサービスを停止
同社の発表によると、不正アクセスは2026年10月2日（金）以降に行われていたことが、その後の調査で分かった。10月3日（土）午前、会員からの問い合わせを受けて調べたところ不正アクセスが判明し、同日11時24分にAmazonギフトコードとGMOポイントへのポイント交換を停止した。14時15分に攻撃経路を遮断し、15時には外部からinfoQへのアクセスを遮断してサービスを停止した。10月5日に個人情報保護委員会へ報告している。
停止後のinfoQのサイトでは「緊急メンテナンス」と案内していたが、実際には今回の不正アクセスへの対応による停止だった。同社はこの点について、説明が遅れたことも謝罪している。
流出の対象となった情報は、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員IDのほか、ニックネームや保有ポイント数、最終回答日といった利用状況に関する情報である。クレジットカード情報とマイナンバーはもともと保有していないとしている。悪用された脆弱性があったソフトウェアの名称は公表されておらず、セキュリティ専門会社の協力を得て調査を続けている。
infoQの停止により、同社が請け負っている調査業務の一部にも影響が出ている。今回の対象に取引先の情報は含まれておらず、infoQ以外の同社サービスへの不正アクセスは確認されていないという。
「ポイント」は換金できる資産として狙われる
今回の事案では、個人情報の流出に加えて、会員のポイントが実際にギフトコードへ交換されるという金銭的な被害が出ている。アンケートサイトや共通ポイントのように、ためたポイントをギフトコードや電子マネーに交換できる仕組みは、攻撃者にとっては換金しやすい資産になる。
ポイント交換のような「お金に近い機能」を持つサービスでは、交換先の追加や大量の交換といった通常と異なる動きを監視し、異常があれば交換を自動で止める仕組みが重要になる。今回、同社は会員からの問い合わせを受けた当日の午前中に交換を止めているが、脆弱性を突いた侵入そのものは前日から続いていた。外部に公開しているWebサイトのソフトウェアを最新の状態に保つことと、侵入の兆候を早く捉えることの両方が欠かせない。
会員の側では、infoQと同じパスワードをほかのサービスでも使っている場合は、そのサービスのパスワードを変更しておきたい。同社も同様の対応を勧めるとともに、同社やinfoQを装った不審なメール、SMS、電話に注意するよう呼びかけている。
同じ手口に、自社は備えられていますか？