GMOリサーチ&AIの「infoQ」に不正アクセス｜最大94万8,498件の会員情報漏えい

infoQで発生した情報漏えいの概要

2026年10月5日、GMOリサーチ&AI株式会社は、同社が運営するアンケートサイト「infoQ」が不正アクセスを受け、会員の個人情報が外部に持ち出されたことを公表しました。

対象となる会員情報は最大94万8,498件です。また、一部の会員が保有していたポイントが、本人の意思によらずAmazonギフトコードへ交換されたことも確認されています。

公表されている経緯は、次のとおりです。

日時	公表内容
2026年10月2日以降	第三者による不正アクセスが発生
10月3日午前	会員からの問い合わせを受けて調査し、不正アクセスを確認
同日11時24分	AmazonギフトコードとGMOポイントへの交換を停止
同日14時15分	攻撃経路を遮断
同日15時	外部からinfoQへのアクセスを遮断し、サービスを停止
10月5日	個人情報保護委員会へ報告し、事案を公表

サービス停止後、infoQのサイトでは「緊急メンテナンス」と案内されていましたが、GMOリサーチ&AIは、本件への対応による停止だったと説明しています。

漏えいした会員情報と、含まれない情報

GMOリサーチ&AIは、2026年10月5日時点で同社が個人情報を保有していた全件にあたる、最大94万8,498件を対象として公表しています。

区分	情報の内容
漏えいした情報	氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員ID
その他の対象情報	ニックネーム、保有ポイント数、最終回答日などの利用状況に関する情報
含まれない情報	クレジットカード情報、マイナンバー

「暗号化されたパスワード」は、入力したパスワードがそのまま読める状態だったという発表ではありません。一方、暗号化の具体的な方式や強度は公表されていないため、「暗号化されているから悪用されない」と断定することもできません。

公式発表では、infoQ以外のGMOリサーチ&AIのサービスへの不正アクセスは確認されておらず、取引先の情報も今回の対象に含まれていないとされています。

611件のポイントが不正に交換

今回の事案では、個人情報の漏えいだけでなく、611件、合計286万9,500円相当のポイントが、本人の意思によらずAmazonギフトコードへ交換されたことが確認されています。

GMOリサーチ&AIは、不正に交換されたポイントを全額補填すると発表しています。身に覚えのないポイント交換がある場合は、infoQサポートセンターへ連絡するよう案内しています。

この611件はポイントの不正交換件数であり、情報漏えいの最大件数である94万8,498件とは異なる数値です。

不正アクセスの原因

GMOリサーチ&AIは、第三者がinfoQで使用していたソフトウェアの脆弱性を悪用して侵入したことを確認しています。

ただし、2026年10月8日に確認できる公式発表では、次の情報は明らかにされていません。

• 脆弱性が存在したソフトウェアの名称やバージョン
• 脆弱性の識別番号
• 既知の脆弱性だったのか、公表されていない脆弱性だったのか
• 攻撃者が最初にアクセスした機能や具体的な手順

そのため、特定の製品や脆弱性を侵入原因として挙げたり、修正プログラムの適用状況を推測したりすることはできません。同社は、セキュリティ専門会社の協力を受けて調査を続けています。

infoQ利用者が取るべき対応

GMOリサーチ&AIは、対象となる会員へ2026年10月5日から順次メールで連絡するとしています。infoQを利用している方は、次の点を確認してください。

同じパスワードを使っているサービスを確認する

infoQと同じパスワードをほかのサービスでも使用している場合は、ほかのサービス側のパスワードを変更します。サービスごとに異なるパスワードを設定し、可能な場合は多要素認証も有効にしてください。

不審なメールやSMSに注意する

氏名、住所、メールアドレス、会員IDなどが漏えいしているため、GMOリサーチ&AIやinfoQを装った連絡に注意が必要です。

• メールやSMSに記載されたリンクを安易に開かない
• パスワードや認証コードを入力するよう求められても、その場で応じない
• 公式発表は、受信したメッセージ内のリンクではなく公式サイトから確認する
• 自分の情報を知っている相手でも、正規の連絡だとすぐに判断しない

ポイント交換履歴を確認する

身に覚えのないポイント交換がある場合は、infoQサポートセンターへ連絡します。本件の問い合わせ先は、infoq-support@gmo-research.aiです。メールは24時間受け付け、対応時間は平日10時から18時までと案内されています。

GMOリサーチ&AIの対応とサービス再開

同社は、攻撃経路の遮断、infoQへの外部アクセスの停止、ポイント交換の停止、個人情報保護委員会への報告、対象会員への個別連絡を実施しています。

今後は、調査結果をもとに再発防止策を講じ、安全性を確認したうえでinfoQを再開するとしています。2026年10月8日時点で確認できる公式発表には、サービスの再開時期は記載されていません。

会員サイトを運営する企業が確認したい5つの項目

以下は、今回悪用された脆弱性を推測するものではありません。会員情報やポイントを扱うWebサービスを運営する企業が、一般的な備えとして確認したい項目です。

1. 使用しているソフトウェアを把握しているか

Webアプリケーション、フレームワーク、ライブラリ、サーバーソフトウェアの名称とバージョンを一覧にします。脆弱性が公表された際、影響を受けるシステムをすぐに特定できる状態が必要です。

2. 脆弱性情報を確認し、対応期限を決めているか

重要度や外部公開の有無に応じて、修正プログラムの適用期限を決めます。すぐに更新できない場合は、アクセス制限や該当機能の停止など、一時的な対策も検討します。

3. 外部から利用できる機能を定期的に確認しているか

公開する必要のない管理画面、古いAPI、試験用ページがインターネットから利用できないかを確認します。想定外の公開箇所がないか、外部から見える範囲を継続的に点検することが重要です。

4. 不審なアクセスとデータ取得を検知できるか

通常と異なるアクセス、大量の会員情報の取得、不審なファイルの設置、短時間で繰り返されるポイント交換などを検知し、担当者へ通知できる仕組みを確認します。

5. 金銭的価値のある機能を追加で保護しているか

ポイントやギフトコードの交換には、再認証、交換上限、利用者への通知、異常な操作の保留などを組み合わせます。会員アカウントへ侵入された場合でも、被害を広げにくい設計が必要です。

会員サイトの脆弱性を確認したい企業へ

今回の公式発表では、悪用されたソフトウェアや脆弱性の詳細は公表されていません。そのため、「特定の診断を実施していれば防げた」と断定することはできません。

一方、会員情報やポイントを扱うサービスでは、公開中のWebアプリケーション、認証機能、管理画面、使用ソフトウェアを継続的に確認することが重要です。

• Webアプリセキュリティ診断 — 会員登録、ログイン、ポイント交換、管理画面などの弱点を確認
• 脆弱性診断 — 公開システムの既知の脆弱性や設定不備を確認
• ペネトレーションテスト — 脆弱性が悪用された場合の影響や会員情報への到達可能性を検証

診断対象が決まっていない場合でも、システム構成や扱っている情報を伺い、確認すべき範囲を整理できます。

よくある疑問

Q. infoQから何件の会員情報が漏えいしたのですか？

A. GMOリサーチ&AIは、2026年10月5日時点で同社が個人情報を保有していた全件にあたる、最大94万8,498件を対象として公表しています。

Q. クレジットカード情報やマイナンバーも漏えいしましたか？

A. いいえ。同社はクレジットカード情報とマイナンバーを保有しておらず、今回の対象には含まれないと説明しています。

Q. パスワードを変更する必要はありますか？

A. infoQと同じパスワードをほかのサービスでも使用している場合は、そのサービスのパスワードを変更してください。公式発表では、暗号化されたパスワードが対象情報に含まれています。

Q. 不正交換されたポイントは補填されますか？

A. はい。GMOリサーチ&AIは、611件・合計286万9,500円相当の不正交換を確認し、不正に交換されたポイントを全額補填すると発表しています。

まとめ

アンケートサイト「infoQ」では、使用していたソフトウェアの脆弱性を悪用した不正アクセスにより、最大94万8,498件の会員情報が漏えいしました。611件・合計286万9,500円相当のポイントが不正にAmazonギフトコードへ交換されたことも確認されています。

infoQと同じパスワードをほかのサービスでも使用している方は、ほかのサービス側のパスワードを変更してください。また、GMOリサーチ&AIやinfoQを装ったメール、SMS、電話に注意し、身に覚えのないポイント交換がある場合は公式窓口へ連絡する必要があります。

参考情報

• GMOリサーチ&AI「当社が運営するアンケートサイト『infoQ』への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」

関連ページ

• Webアプリセキュリティ診断 — 会員サイト、認証機能、管理画面の安全性を確認
• 脆弱性診断 — 公開システムの脆弱性や設定不備を幅広く確認
• ペネトレーションテスト — 攻撃者の視点で重要情報への到達可能性を検証
• 診断料金一覧 — 対象別の料金と診断プランを確認