Gポイントへの不正アクセス（会員識別子最大約7万件の漏えいの可能性、サービス全面停止・再開未定）
公表日
ポイント交換サービス「Gポイント」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、会員を見分けるための記号（会員識別子）最大約7万件が漏えいしたおそれがあります。サービスは止まったままで、再開の時期は決まっていません。
対象者は？
Gポイントの会員の一部です。漏えいしたおそれがあるのは、会社のシステムの中で会員を見分けるための英数字の記号（会員識別子）最大約7万件で、流出は確定していません。会社は、氏名・住所・電話番号・メールアドレスなどの個人情報は一切含まれず、この記号だけから個人を特定することはできないと説明しています。
漏えいした情報の内容と件数は、サポートセンターのよくある質問（FAQ）で説明されています。
いますぐできること
- Gポイントを名乗るメールやSMSで「ポイントが失効する」などと急がせる連絡が来ても、リンクを開かず公式サイトで確認する
- 再開の案内は公式サイトやサポートセンターで確認する。止まっている間に期限が来るポイントは失効させないと会社は説明している
何が起きたのか
2026年9月25日、Gポイントのシステムで異常が見つかり、調べたところ外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けていたことが分かりました。会社は同じ日にシステムを止めて、外からのアクセスを遮断しました。その結果、Gポイントと関連サービスが使えなくなり、BIGLOBEでのポイント残高の表示や、BIGLOBEの利用料金の支払いへの交換も止まりました。9月30日に会社が公表しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。会社は原因と影響の範囲を調べている最中です。Gポイントは多くのサービスとポイントをやりとりする中継の役割をしているため、止まった影響が提携先の機能にも広がりました。
いまの状況2026-09-30 時点続報待ち
システムを止めて以降、追加の不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は見つかっていません。サービスを再開する日時は決まっていません。止まっている間に期限を迎えるポイントや、交換の申し込み中のポイントは失効させない方針ですが、一部の交換先では手続きを取り消してポイントを戻す場合があります。侵入の経路や、会員識別子以外の情報への影響は、まだ発表されていません。
企業として考えたいこと
自社のサービスが調査のために何週間も止まったとき、お客様や提携先に、いつ・何を知らせるかは決まっているでしょうか。
技術的な要約
ポイント交換サービス『Gポイント』を運営するジー・プランは2026年9月30日、9月25日にシステムの異常を検知し、調査の結果、外部からの不正アクセスを受けていたことが判明したと公表した。同社は同日中にシステムを停止して外部からのアクセスを遮断し、以後追加の不正アクセスは検知されていない。漏えいした可能性がある情報は『会員識別子』最大約7万件で、同社FAQは会員識別子を社内で顧客を管理・識別するための英数字の記号とし、氏名・住所・電話番号・メールアドレスなどの個人情報は一切含まれないと説明している。システム停止に伴いGポイント関連サービス（BIGLOBE上の残高表示や料金支払いへの交換を含む）が止まっており、10月10日時点で再開日時は未定、原因・侵入経路・影響範囲は調査中である。停止中に期限を迎えるポイントや交換申請中のポイントは失効させない方針を示している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。公式発表は『外部からの不正アクセス』を受けていたことが判明したとするのみで、侵入経路・脆弱性・悪用された機能は原因究明中として公表されていない。報道（ケータイ Watch、セキュリティ対策Lab）も手口・経路は明らかでないとしている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 9/25に異常検知と同日にシステムを停止し外部からのアクセスを遮断。Gポイントおよび関連サービス（Gポイントギフト、Gポイントくじ、まるとく調査員、BIGLOBEサービス上のGポイント残高表示・BIGLOBE利用料金支払いへのポイント交換等）が利用できない状態。交換申請中のポイントは失効させないが、一部の交換パートナーでは手続きをキャンセルしポイントを差し戻す場合があると案内。期間：2026-09-25〜（10/10時点で再開日時未定、FAQ『サービスの再開見込みについて』）
- データ
- おそれ上限 70,000確定 —件会員ID公式発表の表記は『会員識別子 最大約7万件』（漏えいした可能性）。FAQによれば会員識別子は『当社システム内でお客さまを管理・識別するための記号（英数字などの番号）』で、氏名・住所・電話番号・メールアドレスなどの個人情報は一切含まれず、識別子だけから第三者が個人を特定することはできないと説明。ポイント残高・交換履歴・パスワード等の漏えい有無には言及がない。いずれも『現時点で』の情報で調査継続中。
- 波及先
- —
- BIGLOBEサービス上でのGポイント残高表示、BIGLOBE利用料金支払いへのポイント交換が停止（Gポイントサポートセンターの案内）
- 交換パートナーの一部で、交換申請中の手続きをキャンセル（無効化）しポイントを差し戻す場合がある
- 金銭影響
- —
- サプライチェーン
- 委託先経由の侵入や、他組織のデータ漏えいへの波及は公表されていない。ポイント交換のハブであるため、サービス停止の影響はBIGLOBE上の機能や交換パートナー側の手続きに及んでいるが、提携先のシステムへの侵害は示されていない。
時系列
技術解説
公表内容：分かっていることと分かっていないこと 事実
公式に確定しているのは、9/25の異常検知と不正アクセスの判明、同日のシステム停止と外部アクセス遮断、以後の追加不正アクセス未検知、漏えい可能性のある情報が会員識別子最大約7万件であること、サービス再開が未定であることの5点である。侵入経路・脆弱性・不正アクセスの開始時期・攻撃者の目的は公表されていない。発表はニュースページの1本のみで、補足はサポートセンターのFAQ（掲載日非表示）で行われている。FAQは会員識別子を『システム内で顧客を管理・識別するための英数字の記号』とし、氏名・住所・電話番号・メールアドレスは含まれないと説明するが、ポイント残高・交換履歴・認証情報について漏えいの有無は言及していない。
『識別子だけ』の説明と全面停止の長期化のギャップ（解釈） 解釈
漏えい可能性が個人情報を含まない識別子だけであれば、通常はサービスを短期で再開できるはずだが、9/25から2週間以上、関連サービスを含めて再開日時が示されていない。考えられる理由は、(1)侵入経路が特定できず封じ込めの完了を確認できていない、(2)識別子を使って交換APIや提携先連携を不正に呼び出せる可能性（ポイント不正交換のリスク）を検証している、(3)システムの再構築や認証情報・APIキーの全面更新が必要、などである。ポイント交換サービスは過去に業界全体で不正交換の標的になってきたため、識別子が提携先との連携キーとして使われているかどうかは被害評価上重要だが、公表されていない。いずれも推測であり、金銭被害（ポイント不正交換）の有無も公表されていない。
ポイント交換ハブ停止の波及（解釈） 解釈
Gポイントは複数のポイント・マイル・電子マネー間をつなぐ交換サービスで、停止の影響は自社サイトにとどまらない。FAQではBIGLOBE上の残高表示や料金支払いへの交換、まるとく調査員のアンケート回答・レシート投稿期限、Gポイントくじの期限まで個別に扱いを案内しており、交換申請中のポイントについては一部パートナーで手続きをキャンセルして差し戻すとしている。同社は停止中の期限切れを失効させない方針を示しており、利用者の金銭的損失を抑える配慮は見えるが、提携先側での対応（キャンセル処理、問い合わせ対応）は各社に発生している。データ漏えいの規模は小さくても、ハブ型サービスの停止は提携先を含めた業務影響として現れる。
対応
- 封じ込め
- 9/25に異常検知と同日にシステムを停止し外部からのアクセスを遮断。以後追加の不正アクセスは検知されていない。原因究明と影響範囲の調査を継続中。
- 公表の仕方
- 9/30にコーポレートサイトで公表（検知日、遮断、漏えいの可能性：会員識別子最大約7万件、再開未定）。サポートセンターに停止関連FAQ（会員識別子の説明、期限切れ・交換申請中ポイントの保護、BIGLOBE関連）を掲出。再開時期は確定次第案内するとし、個別の再開連絡依頼には応じないと明記。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 侵入経路が特定できないまま全面停止が長期化している | Webサーバ・API・DBのアクセスログ、認証ログ、管理画面操作ログを改ざん不能な外部ストレージに少なくとも1年保管し、侵害時に侵入時期と経路を遡れるようにする。停止判断と並行して、どの機能を部分再開できるかを決める判断基準（封じ込め完了条件）を平時に定めておく |
| ポイント交換は不正交換による金銭被害に直結する | 交換APIはパートナーごとのmTLSまたは署名付きリクエスト、交換額・回数の上限、新規交換先への初回交換時の追加認証を必須にし、短時間の多数アカウントからの交換申請を検知して自動保留する |
| 内部識別子の漏えいでも、外部から推測・流用できると攻撃の足掛かりになる | 外部公開・提携先連携に使う識別子は内部IDと分離し、推測困難なランダム値（UUIDv4等）を用いる。識別子単独で操作が成立するAPIを棚卸しし、必ずセッションまたはトークン認証と組み合わせる |
| ハブ型サービスの停止が提携先・利用者に広く波及する | 提携先との契約に、停止時の交換申請の扱い（保留・キャンセル・差し戻し）と連絡手順を事前に定め、停止中の期限切れ救済ルールを規程化しておく |
自組織などでの確認項目
- 自社サービスが不正アクセスで全面停止した場合、侵入経路が不明なまま一部機能を再開してよい条件を誰がどう決めるか。その判断材料となるログは何日分残っているか。
- 自社の内部IDや会員番号が漏えいした場合、それだけで成立してしまう操作（API呼び出し、問い合わせ窓口での本人確認、提携先での照合）はないか。
- 自社が多数の提携先をつなぐ『ハブ』の立場で停止したとき、提携先の処理（予約・交換・決済）はどう扱われ、利用者の期限や金銭的損失をどう救済するか。
未解明点
- 侵入経路・脆弱性と不正アクセスの開始時期
- 会員識別子以外（ポイント残高、交換履歴、認証情報、提携先連携用の鍵）の漏えい・改ざんの有無
- ポイント不正交換など金銭被害の有無
- サービス再開時期と、再開に向けた対策内容
- 個人情報保護委員会への報告の有無（識別子が個人関連情報・個人情報に当たるかの評価を含む）
出典
- 1ジー・プラン2026-09-30公式本文確認済
- 2ジー・プラン（Gポイントサポートセンター）公式本文確認済
- 3ジー・プラン（Gポイントサポートセンター）公式本文確認済
- 4ジー・プラン（Gポイントサポートセンター）公式本文確認済
- 5ジー・プラン（Gポイントサポートセンター）公式本文確認済
- 6ジー・プラン（Gポイントサポートセンター）公式本文確認済
- 7ジー・プラン（Gポイントサポートセンター）公式本文確認済
- 8ジー・プラン（Gポイントサポートセンター）公式本文確認済
- 9ケータイ Watch2026-10-05報道本文確認済
- 10セキュリティ対策Lab（Rocket Boys）2026-10-01報道本文確認済