GMOリサーチ&AI（infoQ）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月5日、GMOリサーチ&AI は、運営するアンケートサイト「infoQ」が第三者から不正アクセスを受け、会員の個人情報が外部に持ち出されたと公表しました。翌6日には親会社の GMOプロダクトプラットフォームが適時開示しました。 10月2日以降に不正アクセスがあり、10月3日に会員からの問い合わせをきっかけに確認しました。サイトで使っていたソフトウェアの脆弱性を悪用されたとしています。 10月14日の第2報で、持ち出された個人情報を89万4,082件と確定しました。項目は氏名・生年月日・メールアドレス・住所・電話番号・暗号化されたパスワードなどです。あわせて、611件・計2,869,500円分のポイントが本人の意思によらず Amazon ギフトコードに交換されていました。

会社の対応

• 10月3日にポイント交換を止め、攻撃の経路とサイトへの外部からのアクセスを遮断。サイトは停止したままです
• 10月5日に個人情報保護委員会へ報告し、10月6日に警察へ相談
• 全会員へメールで連絡し、ほかのサービスのパスワード変更を呼びかけています。10月7日に全会員のパスワードを無効にしました
• 不正に交換されたポイントは全額を補い、サービス再開時に戻すとしています
• セキュリティ専門会社の協力のもとで調査を続け、再発防止策を講じてから再開するとしています

この事例から中小企業が学べること

• 自社サイトで使うソフトウェアの一覧と版を把握し、脆弱性の修正をすぐに当てる体制を持つ
• ポイント・ギフト券など換金できるものの交換に、上限と異常の知らせを付ける
• 停止の理由を「緊急メンテナンス」などとぼかさず、分かった時点で知らせる（同社は第1報で説明が遅れたことをわびています）
• パスワードの使い回しをやめるよう社員に伝える