GMOリサーチ&AIのアンケートサイト「infoQ」へのソフトウェア脆弱性悪用による不正アクセス（会員情報最大948,498件の持ち出し、ポイント286万9,500円分の不正交換）
公表日
アンケートサイト「infoQ」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員の個人情報 最大948,498件が外部に持ち出されました。会員のポイント611件・2,869,500円分も、本人の意思によらずAmazonギフトコードに交換されました。
対象者は？
infoQの会員（2026年10月5日時点で会社が個人情報を持っていた全員）です。氏名・フリガナ・性別・生年月日・住所・電話番号・メールアドレス・暗号化されたパスワード・会員ID・保有ポイント数などが含まれます。対象は最大948,498件で、実際に持ち出された件数は公表されていません。クレジットカード情報とマイナンバーは、会社が持っていないため対象外です。
対象の会員には、会社からメールで順次個別に連絡しています。
いますぐできること
- infoQと同じパスワードを他のサービスでも使っていれば、そちらのパスワードを変更する
- infoQやGMOを名乗るメール・SMSのリンクは開かない。住所や電話番号も含まれているため、電話や郵便での不審な連絡にも気をつける
- 同じパスワードを使っていたポイントサービスや通販サイトで、身に覚えのないポイント交換や注文がないか履歴を確認する
何が起きたのか
2026年10月2日以降、infoQのサイトで使っていたソフトウェアの弱点を突いて、第三者が不正にアクセスしました。10月3日の午前、会員からの問い合わせをきっかけに会社が調べ、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が分かりました。会社は同じ日の11時24分にポイントの交換を止め、15時にはサービス全体を停止しました。停止中のサイトは当初「緊急メンテナンス」と案内されていました。10月5日に、会員情報の持ち出しとポイントの不正交換を公表しました。
なぜ起きたのか・なぜ広がったのか
会社は、サイトで使っていたソフトウェアの脆弱性（弱点）が悪用されたと説明しています。ソフトウェアの名前や弱点の種類は、まだ公表されていません。持ち出しの対象は、会社が持っていた会員の個人情報の全件に及んでいます。ポイントの不正交換がどのような手口で行われたかも公表されていません。
いまの状況2026-10-05 時点続報待ち
サービスは停止しており、調査の結果をふまえて再発防止策を行い、安全を確認してから再開するとしています。不正に交換されたポイントは、会社が全額を補填するとしています。セキュリティの専門会社と調査を続けており、個人情報保護委員会にも報告しました。使われたソフトウェア、実際に持ち出された件数、パスワードの保存方法、再開の時期は、まだ発表されていません。
企業として考えたいこと
自社のサイトで使っているソフトウェアを一覧にできるでしょうか。その弱点が公表されたとき、すぐに気づいて直せる体制はあるでしょうか。
技術的な要約
GMOリサーチ&AIが運営するアンケートサイト「infoQ」で、同社サイトが使用していたソフトウェアの脆弱性を悪用した第三者の不正アクセスが2026年10月2日以降に発生し、会員の個人情報が外部に持ち出された。対象は10月5日時点で同社が保有する個人情報の全件にあたる最大948,498件で、氏名・生年月日・住所・電話番号・メールアドレス・暗号化されたパスワード・会員ID・保有ポイント数などを含む。さらに611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換され、同社は全額を補填するとした。10月3日午前に会員からの問い合わせで発覚し、同日11:24にポイント交換停止、14:15に攻撃経路遮断、15:00にサービスを停止した（当初は「緊急メンテナンス」と案内）。ソフトウェア名・CVEは非公表で、セキュリティ専門会社と調査中、10月10日時点で続報は出ておらずサービスは停止中。
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認公式発表は『当社サイトで使用していたソフトウェアの脆弱性を悪用して侵入』と説明（確定）。ソフトウェアの製品名・バージョン・CVE・脆弱性の種類（SQLインジェクション、RCE、認証回避など）・悪用された面（会員向けWeb、管理画面、API等）はいずれも非公表で、報道（INTERNET Watch、@IT、セキュリティ対策Lab等）も特定していない。自社開発コードの不具合ではなく『使用していたソフトウェア』と表現されているため公開サーバの脆弱性に分類したが、OSS/商用製品か自社組込みライブラリかは不明。ポイント不正交換（Amazonギフトコード）が個人情報の持ち出しと同一経路で行われたのか、窃取情報を使った会員アカウントへのログインによるのかも公表されていない。
- 脆弱性
- CVE 非公表公表で確認非公表（infoQサイトで使用していたソフトウェア）公式発表（10/5）は『使用していたソフトウェアの脆弱性』とのみ記載。製品名・バージョン・CVE・修正適用状況は非公表。10/3 14:15に『攻撃経路を遮断』としているが、パッチ適用か経路の閉塞かは不明。JPCERT/CCの注意喚起（JPCERT-AT-2026-0030、10/8公開・10/9更新）は2026年9月前後の国内組織での相次ぐ不正アクセスを扱い、Metabase の CVE-2026-72898 などを挙げるが、被害組織名は記載しておらず、infoQとの関係は公式・報道とも言及なし（10/10時点で確認できた範囲）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 10/3 11:24にAmazonギフトコード・GMOポイントへのポイント交換を停止、15:00に外部からのアクセスを遮断してinfoQのサービス全体を停止。停止後のサイトは『緊急メンテナンス』と案内されていた。infoQ停止により取引先から依頼中の調査の一部に影響が出ており、担当者が個別連絡するとしている。再開は調査結果を踏まえ再発防止策を講じ安全性を確認した後とされ、時期は未定。期間：2026-10-03 15:00から停止中（10/10時点で再開の公表は確認できず）
- データ
- 確定上限 948,498確定 —件氏名性別生年月日メール住所電話会員IDその他（暗号化されたパスワード：方式非公表）その他（フリガナ、ニックネーム、保有ポイント数、最終回答日などの利用状況）公式発表は『外部に持ち出された』と記載しており持ち出し自体は確定扱い。ただし件数は『最大948,498件（10月5日時点で当社が個人情報を保有する全件）』という上限で、実際に持ち出された件数の特定は公表されていないため records_confirmed は null。パスワードは『暗号化済み』とのみ記載され、可逆暗号か一方向ハッシュか、アルゴリズム・ソルト有無は非公表。クレジットカード情報・マイナンバーは保有していない。取引先の情報は対象外、infoQ以外の同社サービスへの不正アクセスは確認されていない。金銭被害は別途611件・2,869,500円（impact.financial参照）。
- 波及先
- —
- infoQ停止により依頼中の調査の一部に影響（取引先名・社数は非公表、担当者から個別連絡）
- 金銭影響
- ポイント不正交換611件・2,869,500円分（Amazonギフトコード）。同社が全額補填すると公表。調査費用・特損等は非公表。
- サプライチェーン
- infoQは同社が取引先（調査依頼企業）向けに提供する市場調査の回答者パネル基盤であり、サービス停止により取引先の依頼中調査の一部に影響が出たと公表されている（データ面の波及ではなく業務面の波及）。取引先の情報は漏えい対象に含まれないとしている。脆弱性のあったソフトウェアのベンダー側事情（製品脆弱性の公開状況）は不明。
時系列
- 2026-10-02
- 2026-10-03
- 2026-10-03 11:24
- 2026-10-03 14:15
- 2026-10-03 15:00
- 2026-10-05個人情報保護委員会へ報告。第1報を公表（最大948,498件の持ち出し、ポイント不正交換611件・2,869,500円、全額補填）。対象会員へメールで順次個別連絡開始1
- 2026-10-06
- 2026-10-07
- 2026-10-08JPCERT/CCが『直近で相次いでいる国内組織における不正アクセスに関する注意喚起』（JPCERT-AT-2026-0030）を公開（10/9更新）。被害組織名は記載なし、infoQとの関係は公表・報道とも言及なし8
技術解説
公表された事実：脆弱性悪用で全件持ち出し＋ポイント換金 事実
GMOリサーチ&AIの10/5発表によれば、攻撃者は『当社サイトで使用していたソフトウェアの脆弱性』を悪用して10/2以降に侵入し、会員の個人情報を外部に持ち出した。対象は同社が10/5時点で保有する個人情報の全件（最大948,498件）で、氏名・フリガナ・性別・生年月日・メール・住所・電話・暗号化パスワード・会員ID・ニックネーム・保有ポイント数・最終回答日などが含まれる。加えて611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換された。1件あたり平均は約4,700円（2,869,500÷611の計算値）。発覚は10/3午前の会員からの問い合わせで、同日11:24に交換停止、14:15に経路遮断、15:00にサービス停止。ソフトウェア名・CVE・手口・パスワードの保存方式は非公表で、調査は継続中。
なぜ『全件』になったのか（推測） 解釈
対象が『保有する全件』とされたことは、侵入点から会員DB全体を読み出せる権限・経路があったか、少なくとも読み出し範囲をログから絞り込めていないことを示す。前者であれば、Webアプリが会員テーブルへの広い読み取り権限を持つDBアカウントで接続していた、あるいは侵入したサーバー上にDB接続情報（環境設定ファイル等）が置かれていた可能性がある。後者であれば、DBクエリ単位の監査ログや大量読み出しの検知がなかった可能性がある。JPCERT/CCの注意喚起（10/8）も、環境設定ファイルの窃取や既知脆弱性のスキャン、APIの悪用といった類型を挙げているが、infoQがいずれに該当するかは公表されておらず、ここに挙げたのはいずれも推測である。
ポイント交換という『出口』：情報漏えいが即金銭被害に変わる構造 解釈
infoQのポイントはAmazonギフトコードという換金性の高いデジタル商品に即時交換でき、攻撃者にとって個人情報より直接的な収益源になる。同社が最初に止めたのが攻撃経路ではなくポイント交換（11:24、経路遮断は14:15）だった点は、被害拡大を止める優先順位として合理的だったと評価できる（innovaTopiaも同旨）。一方で、会員の問い合わせまで不正交換に気づけなかったことから、交換件数・金額の急増、同一端末やIPからの多アカウント交換、登録メールアドレス変更直後の交換といった異常を自動検知する仕組みはなかったか機能しなかったと推測される。不正交換が持ち出した認証情報によるログインで行われたのか、脆弱性経由でDBのポイント残高や交換処理を直接操作したのかは公表されておらず、これによって必要な対策（MFA・リスクベース認証か、サーバー側の権限分離か）が変わる。
公表の評価：早い公表と『緊急メンテナンス』表記 解釈
10/3の確認から2日後の10/5に個人情報保護委員会への報告と公表、会員への個別メールを同時に行っており、公表までの速度は比較的速い。件数を絞り込まず『保有全件』を上限として示し、金銭被害の件数・金額と全額補填を初報で明示した点も、利用者が自分ごととして判断しやすい。ただし停止当初の2日間はサイト上で『緊急メンテナンス』と案内しており、同社自身が実際は不正アクセス対応による停止だったと説明・謝罪している。この間に会員が同一パスワードを使う他サービスの変更や不審連絡への警戒を始める機会は失われた。また脆弱性のあったソフトウェア名を伏せているため、同じ製品を使う他組織が自組織の点検に生かせない。
対応
- 封じ込め
- 10/3 11:24にポイント交換（Amazonギフトコード、GMOポイント）を停止、14:15に攻撃経路を遮断、15:00に外部からのアクセスを遮断しinfoQのサービスを停止。セキュリティ専門会社の協力のもと調査を継続。不正交換分は全額補填。再発防止策を講じ安全性を確認した後にサービス再開予定。
- 公表の仕方
- 10/5に第1報（お詫びとお知らせ）を公表し、時系列（時刻つき）、最大件数、データ項目、ポイント不正交換の件数・金額を開示。対象会員へメールで順次個別連絡。停止期間中の『緊急メンテナンス』案内については説明の遅れを謝罪。ソフトウェア名・CVE・パスワード保存方式は非公表。調査結果と再発防止策は改めて公表するとしているが、10/10時点で続報なし（同社お知らせ一覧で確認）。
- 当局対応
- 個人情報保護委員会：10/5に報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 使用ソフトウェアの脆弱性から会員DBの全件持ち出しに至った | 公開Webで使うOSS・商用製品・ライブラリをSBOMで棚卸しし、KEV/JVN/JPCERT注意喚起をフィードとして自動照合。Webアプリが使うDBアカウントは必要なテーブル・列・行数に限定した最小権限とし、全件SELECTやエクスポートができない設計にする。DB接続情報は環境設定ファイルではなくシークレットマネージャーから取得する |
| ポイントが即時に換金性の高いギフトコードへ交換できた | 交換処理に、アカウント単位・全体単位の金額上限と速度制限、交換前のステップアップ認証（メールOTP/パスキー）、登録情報変更直後の交換保留、同一IP/端末からの多アカウント交換検知を実装し、異常時に交換機能だけを即時停止できるキルスイッチ（機能フラグ）を用意する |
| 発覚が会員からの問い合わせ頼みだった | ポイント交換件数・金額の時系列ベースライン監視、DBの大量読み出し（行数・バイト数）アラート、WAF/アプリログのSIEM相関を整備し、休日（本件は金〜土）でも当番が初動できるオンコール体制を定める |
| パスワードが『暗号化』とだけ説明され、利用者が危険度を判断できない | パスワードは可逆暗号ではなくArgon2id/bcrypt等のソルト付き低速ハッシュで保存し、漏えい時の公表文には保存方式（アルゴリズム・ソルト有無）を明記するテンプレートを用意する |
| 停止理由を『緊急メンテナンス』と表示した | インシデント時のステータス表示文言を事前に用意し、確定前でも『セキュリティ上の問題の調査のため停止中』と表示して、パスワード使い回しの変更など利用者が取れる行動を同時に案内する運用を決めておく |
自組織などでの確認項目
- あなたのサービスでWebアプリが使うDBアカウントは、会員テーブルを全件読み出せる権限を持っていないか。侵入されたときに『保有全件』とならないために、どこで権限やネットワークを分けているか。
- ポイント・クーポン・残高など換金できる価値を扱う機能に、上限・速度制限・追加認証・即時停止スイッチはあるか。不正交換を最初に検知するのは監視か、利用者の問い合わせか。
- 自社が使うOSS・商用ソフトの脆弱性情報を、どの経路で何時間以内に把握し、誰がパッチ適用を判断しているか。週末に公表された脆弱性にも追随できるか。
- インシデント初動で原因が未確定のとき、サイトの停止表示や利用者への案内に何をどこまで書くか、事前に決めているか。
未解明点
- 悪用されたソフトウェアの製品名・バージョン・CVEと脆弱性の種類（SQLi、RCE、認証回避等）、ベンダーへの届出・公開状況
- JPCERT/CC注意喚起（JPCERT-AT-2026-0030）で示された類型（ケースA〜D）との関係
- ポイント不正交換の手口（窃取情報による会員ログインか、DB・交換処理の直接操作か）と、不正交換対象611件と持ち出し対象の関係
- 実際に持ち出された件数の確定値と、パスワードの保存方式（可逆暗号かハッシュか、アルゴリズム）
- 10/2の侵入開始時刻、10/2〜10/3の間に攻撃を検知できなかった理由、ログの保全状況
- 攻撃者の正体・目的（犯行声明やリーク情報は確認できなかった）とサービス再開時期
出典
- 1GMOリサーチ&AI2026-10-05公式本文確認済
- 2INTERNET Watch2026-10-06報道本文確認済
- 3@IT2026-10-07報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-10-06報道本文確認済
- 5株式会社一創2026-10-07研究者本文確認済
- 6innovaTopia2026-10-06報道本文確認済
- 7共同通信（OANDA Lab掲載）2026-10-06報道本文確認済
- 8JPCERT/CC2026-10-08研究者本文確認済