infoQの不正アクセス(2026年10月公表)
結論から
- 2026年10月2日以降、アンケートサイト「infoQ」がソフトウェアの脆弱性を突かれて不正アクセスを受けました。会員の個人情報が外部に持ち出されたことを、運営するGMOリサーチ&AIが確認しています。
- 10月14日の第2報で、持ち出された個人情報は89万4,082件と確定しました(第1報では最大94万8,498件)。あわせて611件・計2,869,500円分のポイントが、本人の意思によらずAmazonギフトコードに交換されました。会社は全額を補填するとしています。
- infoQは10月3日15時からサービスを止めており、10月7日には全会員のパスワードを無効化しました。2026年10月30日時点で、調査結果・再発防止策とサービス再開の時期は公表されていません。
概要
- 公表日
- 2026年10月5日
- 発生
- 2026年10月2日
- 検知・発覚
- 2026年10月3日
- 最新の公表
- 2026年10月14日
- 組織・業種
- GMOリサーチ&AI「infoQ」(アンケートサイト運営 / IT・SaaS・SI・BPO)
- 漏えいした情報・件数
- 894,082件(2026-10-14の第2報で確定。当初は最大948,498件と発表。差の内訳は、持ち出されたが個人情報を含まない記録9,068件、持ち出されていない45,348件)。氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化済みのパスワード、会員ID、ニックネーム、保有ポイント数、最終回答日など。クレジットカード情報とマイナンバーは保有していない
- 業務への影響
- 2026-10-03 15時からinfoQのサービスを停止(2026-10-30時点で再開は未定)。ポイント交換も停止。2026-10-07に全会員のパスワードを無効化。取引先から依頼された調査の一部に影響
- 業績への影響
- ポイントの不正交換611件・計2,869,500円分を会社が全額補填すると公表。業績への影響は2026-10-30時点で公表なし
- 犯行グループ(企業・当局の認定)
- 2026-10-30時点で、犯行グループは公表されていない
- 行政の対応
- 2026-10-05に個人情報保護委員会へ報告。行政の処分などは2026-10-30時点で公表なし
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
この日以降、第三者による不正アクセスが行われていた(後の調査で判明) [1]
-
午前、会員からの問い合わせを受けて調べた結果、不正アクセスを確認 [1]
-
11時24分にポイント交換(Amazonギフトコード、GMOポイント)を停止。14時15分に攻撃経路を遮断 [1]
-
15時に外部からinfoQへのアクセスを遮断し、サービスを停止。サイトでは当初「緊急メンテナンス」と案内 [1]
-
個人情報保護委員会へ報告し、公表。対象の会員に順次メールで個別に連絡を始める [1]
-
全会員に、同じパスワードを使っている他のサービスのパスワード変更を求めるメールを順次送付。警察に相談 [5]
-
全会員のパスワードを無効化。サービス再開時に改めて手続きを案内するとした [5]
-
第2報。持ち出された個人情報を89万4,082件と確定(第1報では最大94万8,498件)。調査結果と再発防止策は改めて知らせるとした [5]
侵入経路と原因
GMOリサーチ&AIによると、第三者がinfoQのサイトで使っていたソフトウェアの脆弱性(設計や実装の弱点)を悪用して侵入しました。不正アクセスは2026年10月2日以降に行われていたことが、後の調査で分かっています。
どのソフトウェアの、どの脆弱性が悪用されたのかは、10月14日の第2報でも示されず、2026年10月30日時点で公表されていません。会社はセキュリティ専門会社の協力を得て、調査を続けているとしています。
発覚のきっかけは、会社自身の監視ではなく、10月3日午前の会員からの問い合わせでした。問い合わせを受けて調べた結果、不正アクセスが確認されています。攻撃者が侵入からポイント交換までをどのような手順で行ったのかも、2026年10月30日時点では公表されていません。
影響
情報の面では、会員の個人情報が外部に持ち出されたことを会社が確認しています。10月14日の第2報で、件数は894,082件と確定しました。
第1報では、同社が保有する個人情報の全件にあたる最大948,498件と発表していました。第2報によると、このうち9,068件は持ち出されたものの、退会から2カ月以上たって個人情報を削除済みの記録でした。45,348件は持ち出されていませんでした。第1報の時点で全会員にメールを送ったため、連絡を受けた人の中には対象外の人も含まれます。
項目は、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化済みのパスワード、会員IDのほか、ニックネーム、保有ポイント数、最終回答日などの登録情報です。クレジットカード情報とマイナンバーは、もともと保有していないとしています。パスワードの暗号化の方式は公表されていません。
金銭の面では、一部の会員のポイントが本人の意思によらずAmazonギフトコードに交換されました。会社が確認したのは611件、計2,869,500円分です。会社は不正に交換されたポイントを全額補填するとしています。
業務の面では、10月3日15時からinfoQのサービスを止めています。会社は、取引先から依頼された調査の一部にも影響が出ていると説明しています。今回の対象に取引先の情報は含まれず、infoQ以外の同社サービスへの不正アクセスは確認されていないとしています。業績への影響は2026年10月30日時点で公表されていません。
会社の対応と再発防止策
会社は10月3日のうちに、まずポイント交換を止め(11時24分)、攻撃経路を遮断し(14時15分)、外部からinfoQへのアクセスを遮断してサービスを停止しました(15時)。10月5日に個人情報保護委員会へ報告しています。
停止後のサイトでは当初「緊急メンテナンス」と案内していました。会社は、実際には今回の件への対応による停止だったと説明し、説明が遅れたことをわびています。
対象の会員には、10月5日から順次メールで個別に連絡しました。10月6日には、同じパスワードを他のサービスで使っている場合の変更を求めるメールを全会員に送り、警察に相談しています。10月7日には全会員のパスワードを無効化し、サービス再開時に改めて手続きを案内するとしています。退会を申し出た会員の退会手続きも順次進めています。
会員には、infoQと同じパスワードを他のサービスで使っている場合の変更、会社を装った不審なメール・SMS・電話への注意、身に覚えのないポイント交換に気づいた場合の連絡を求めています。
調査結果と再発防止策は改めて知らせ、安全性を確認したうえでサービスを再開するとしています(10月14日の第2報)。2026年10月30日時点で、再開の時期は公表されていません。続報が出たら、このページを更新します。
この事案から学べること
- 公開しているWebサイトのソフトウェアの脆弱性1つで、約89万件の個人情報が持ち出されました。外から触れるソフトウェアの更新状況が、そのまま情報の量に直結します。
- ポイントは換金性があり、個人情報の持ち出しとあわせて金銭の被害が出ました。ポイントやギフトコードの交換機能は、攻撃者にとって狙う価値のある出口になります。
- 発覚は会員からの問い合わせがきっかけでした。会社はまず交換を止め、次に経路を断ち、最後にサービスを止めるという順に対応しています。
- 停止の理由を当初「緊急メンテナンス」と案内したことについて、会社は後から説明し、わびています。止めた時点で何をどこまで伝えるかは、事前に決めておく必要があります。
自社で確認すること
- 1 公開しているWebサイトやアプリで使っているソフトウェアを一覧にし、脆弱性の情報が出たときに更新する手順がありますか?
- 2 ポイント交換や送金のように換金できる機能について、短時間に多数の交換が起きたときに気づける仕組みがありますか?
- 3 サービスを緊急に止めたとき、利用者に何を、どの時点で知らせるかを決めていますか?
同じ手口の事案
Webサービス・アプリ経由
- ギフティ (2026年10月26日) システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
- グッドスマイルカンパニー (2026年10月23日) 公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
- NP後払い (2026年10月22日) 後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
関連する事案
よくあるご質問
- infoQの会員は何をすればよいですか?
- 会社は、infoQと同じパスワードを他のサービスで使っている場合は、そのサービスのパスワードを変えるよう勧めています。会社やinfoQを装った不審なメール・SMS・電話にも注意が必要です。身に覚えのないポイント交換に気づいたら、infoQサポートセンターに連絡するよう案内しています。
- 不正に交換されたポイントは戻りますか?
- 会社は、不正に交換されたポイントを全額補填すると公表しています。確認された不正交換は611件、計2,869,500円分です(10月14日の第2報でも同じ数字)。補填のポイントはサービス再開時に対象の会員のアカウントへ付与し、付与が終わった人には個別にメールで知らせるとしています。
- infoQはいつ再開しますか?
- 2026年10月30日時点で、再開の時期は公表されていません。会社は、再発防止策を講じて安全性を確認したうえで再開するとしています。全会員のパスワードは10月7日に無効化されており、再開時に改めて手続きを案内するとしています。
出典
- 当社が運営するアンケートサイト「infoQ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ ↗ (GMOリサーチ&AI株式会社、2026-10-05)
- GMOリサーチ&AIのアンケート「infoQ」で不正アクセス、最大約95万件の個人情報が漏えいし、不正なポイント交換も ↗ (INTERNET Watch、2026-10-06)
- GMO系に不正アクセス、個人情報95万人分漏洩 ポイント不正利用も ↗ (日本経済新聞、2026-10-06)
- 持っていた個人情報が「全件」流出対象 infoQでポイント286万円分も不正交換 ↗ (@IT、2026-10-07)
- 当社が運営するアンケートサイト「infoQ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ(第2報) ↗ (GMOリサーチ&AI株式会社、2026-10-14)