アンケートサイトinfoQに不正アクセス｜89万件流出・ポイント不正交換

GMOプロダクトプラットフォームの子会社 GMOリサーチ&AI が運営するアンケートサイト「infoQ」が不正アクセスを受け、会員の個人情報が外部に持ち出されました。 2026年10月14日の第2報で、持ち出された件数を89万4,082件と確定しました（第1報では最大94万8,498件）。あわせて、611件・計2,869,500円分のポイントが本人の意思によらず Amazon ギフトコードに交換されていました（GMOリサーチ&AIの発表）。 infoQ の会員と、ポイントや会員の仕組みを持つサイトを運営する会社に関係する話です。

公表された内容

• 件数：89万4,082件（2026年10月14日の第2報で確定）。第1報の最大94万8,498件の内訳は、持ち出された個人情報89万4,082件・持ち出されたが個人情報を含まない記録9,068件（退会後に個人情報を消していた会員）・持ち出されていない4万5,348件としています
• 情報の種類：氏名・フリガナ・性別・生年月日・メールアドレス・住所・電話番号・暗号化されたパスワード・会員 ID・ニックネームや保有ポイント数などの利用状況
• 含まれない情報：クレジットカード情報とマイナンバーは持っていないとしています
• ポイントの不正な交換：611件・計2,869,500円分。同社が全額を補い、サービス再開時に会員のアカウントへ戻すとしています
• 原因：第三者が、サイトで使っていたソフトウェアの脆弱性を悪用して侵入したと確認したとしています。ソフトウェアの名前は公表されていません
• 取引先への影響：取引先の情報は対象に含まれないとしています。サイトの停止で、受託している調査の一部に影響が出ているとしています
• サービス：2026年10月3日から停止しています。再開の時期は公表されていません

経緯

• 2026年10月2日以降：第三者による不正アクセス（その後の調査で判明）
• 2026年10月3日：会員からの問い合わせで調べ、不正アクセスを確認。11時24分にポイント交換を止め、14時15分に攻撃の経路を遮断、15時にサイトへの外部からのアクセスを遮断
• 2026年10月5日：個人情報保護委員会へ報告し、GMOリサーチ&AI のサイトで公表。全会員へメールで連絡
• 2026年10月6日：親会社の GMOプロダクトプラットフォームが適時開示。同日、全会員へ同じパスワードを使っているほかのサービスのパスワード変更を頼むメールを送り始め、警察に相談
• 2026年10月7日：全会員のパスワードを無効にした
• 2026年10月14日：第2報。件数を89万4,082件と確定

中小企業が今日からできること

• サイトで使っているソフトウェアの一覧と版を確かめる：自社サイトの CMS・プラグイン・会員管理の仕組みについて、制作会社に一覧と版を出してもらい、修正版が出ていれば当てる
• ポイントやギフト券の交換に上限と知らせを付ける：短い時間に多くの交換があったときに止まる・知らせが来る設定があるかを確かめる。今回は交換を止めた時刻まで記録している
• お客様の問い合わせを異常の入口として扱う：「身に覚えのない交換・ログイン」という問い合わせが来たら、担当者がすぐに管理者へ上げる流れを決めておく
• 社員のパスワードの使い回しを見直す：アンケートサイトなどに会社のメールアドレスで登録している社員がいれば、同じパスワードを会社のアカウントで使っていないか確かめ、変えてもらう