2026年10月5日、GMOリサーチ＆AIは、同社が運営するアンケートサイト「infoQ（インフォキュー）」が不正アクセスを受け、最大約95万件の個人情報が外部に持ち出されたと発表しました。
さらに、一部の会員が貯めていたポイントが、本人の知らないうちにAmazonギフトコードへ交換されていたことも確認されています。
不正交換されたポイントは611件、合計286万9,500円相当。運営会社は被害を全額補填するとしています。
今回の事件では、個人情報が盗まれただけでなく、ポイントの不正交換という実際の被害も発生しています。
買い物やアンケートなど、さまざまなサービスでポイントを貯められるようになった今、ポイントを扱うシステムの安全性についても考えておく必要がありそうです。
GMOリサーチ＆AIの「infoQ」で何が起きたのか
infoQは、アンケートに回答することでポイントを貯められるサービスです。貯まったポイントは、所定の交換先で利用できます。
運営会社の発表によると、2026年10月2日以降、第三者による不正アクセスが発生していました。
翌3日の午前中、会員からの問い合わせを受けて調査したところ、不正アクセスが確認されました。
同社は3日11時24分にポイント交換を停止し、14時15分には攻撃に使われた経路を遮断。15時には外部からサービスにアクセスできないようにしています。
今回、外部に持ち出された個人情報は最大948,498件です。
対象となる情報には、氏名、住所、生年月日、電話番号、メールアドレス、会員ID、暗号化されたパスワードなどが含まれています。
なお、運営会社はクレジットカード情報やマイナンバーを保有していないと説明しています。
10月5日から対象会員への個別連絡も始めており、専門会社とともに詳しい調査を進めています。
約287万円分のポイントが不正に交換された
今回、特に注目したいのがポイントの不正交換です。
運営会社によると、611件のポイント交換が本人の意思によらず行われ、合計286万9,500円相当がAmazonギフトコードに交換されていました。
ポイントは現金ではありませんが、商品やギフトコードなどに交換できる場合があります。
そのため、攻撃者にとっては金銭的な価値のある情報やサービス機能も標的になり得ます。
例えば、通販サイトのポイントや電子マネー残高、ギフト券なども、不正に利用されれば利用者に直接的な損失が生じる可能性があります。
今回の件で、どのような操作によってポイントが不正交換されたのか、詳しい仕組みまでは公表されていません。
ただ、ポイントを扱う企業では、ログイン画面だけでなく、ポイントの交換や利用といった機能についても安全性を確認しておく必要があります。
特に、短時間に何度も交換が行われていないか、普段と異なる操作が発生していないかを確認できる仕組みは、不正利用の早期発見に役立ちます。
不正アクセスの原因はソフトウェアの脆弱性
今回の不正アクセスについて、GMOリサーチ＆AIは、サイトで使用していたソフトウェアの脆弱性が悪用されたと説明しています。
脆弱性とは、システムやソフトウェアに存在するセキュリティ上の弱点のことです。
こうした弱点が残っていると、攻撃者に不正な操作をされたり、システムの内部に侵入されたりする可能性があります。
ソフトウェアの開発元が問題を発見し、修正用の更新プログラムを公開することもあります。しかし、修正が適用されていなければ、攻撃に悪用される危険が残ります。
また、問題が見つかった時点で修正プログラムが用意されていない場合もあります。
今回、具体的にどのソフトウェアのどの脆弱性が使われたのかは公表されていません。
そのため、更新プログラムの適用漏れが原因だったのか、未修正の脆弱性が悪用されたのかまでは分かっていません。
企業側では、使用しているソフトウェアを把握し、新しい脆弱性が見つかっていないかを定期的に確認することが重要です。
パスワードが暗号化されていても注意が必要
今回漏えいした情報には、暗号化されたパスワードも含まれています。
ここでいう「暗号化」は運営会社の発表で使われている表現ですが、具体的な保存方式までは明らかになっていません。
パスワードが適切に保護されていれば、盗まれたデータから元のパスワードを簡単に知ることはできません。
しかし、保存方法やパスワードの強度によっては、元のパスワードを推測される危険が残ります。
特に注意したいのが、複数のサービスで同じパスワードを使っている場合です。
一つのサービスからパスワードが漏れ、それが第三者に知られてしまうと、同じパスワードを使っている別のサービスにも不正ログインされる可能性があります。
GMOリサーチ＆AIも、infoQと同じパスワードを他のサービスで使用している場合は、変更するよう呼びかけています。
パスワードの使い回しを避け、利用できるサービスでは多要素認証を設定しておくと、不正ログインのリスクを減らせます。
ポイントを扱う企業が確認しておきたいこと
ポイントサービスや会員向けサイトを運営している企業では、今回のような不正利用を想定した対策も必要です。
例えば、ポイント交換の際に本人確認を追加したり、短時間に大量の交換が行われた場合に処理を一時停止したりする方法があります。
ログインに成功した利用者であっても、すべての操作を無条件に許可してよいとは限りません。
また、システムの安全性を定期的に調べることも欠かせません。
CyberCrewでは、Webサイトやシステムに存在する弱点を調べる「脆弱性診断」や、実際の攻撃に近い方法で侵入の可能性を検証する「ペネトレーションテスト」を提供しています。
ポイント交換や会員情報の変更など、重要な機能についても、適切な許可を得た範囲で安全性を確認することが可能です。
日常的にサービスが問題なく動いていても、攻撃を受けた場合にどうなるかは別の話です。
特に、利用者の資産や個人情報に関わる機能については、定期的な確認が必要です。
流出した個人情報の悪用にも注意
今回の事件ではポイントの不正交換が確認されていますが、漏えいした個人情報についても注意が必要です。
メールアドレスや氏名、生年月日などが外部に流出すると、それらの情報を使った不審なメールや、本人になりすました連絡などに悪用される可能性があります。
また、盗まれた情報が後になってダークウェブなどで公開・売買されることもあります。
CyberCrewでは、こうした流出情報を検知・監視するサービス「ALIENGATE（エイリアンゲート）」を提供しています。
ALIENGATEは、企業のドメインやメールアドレスなどに関連する情報を監視し、ダークウェブなどで流出情報が見つかった場合に、その状況を把握できるようにするサービスです。
例えば、従業員のメールアドレスや認証情報の流出が見つかれば、対象アカウントの確認やパスワード変更などの対応につなげられます。
ただし、すべての情報漏えいを検知できるわけではありません。また、今回のinfoQで発生したようなポイントの不正交換を直接防ぐ機能ではありません。
システムの安全性を確認する対策と、外部に流出した情報を監視する対策では、それぞれ役割が異なります。
ALIENGATEの詳細は、公式サイトで確認できます。
infoQを利用している方は
GMOリサーチ＆AIは、今回の不正アクセスによってポイントを不正に交換された会員について、全額を補填すると発表しています。
身に覚えのないポイント交換に気付いた場合は、運営会社のサポート窓口へ問い合わせるよう案内しています。
また、今回の情報漏えいに便乗して、infoQや運営会社を装った不審なメールが送られる可能性もあります。
パスワードの変更や本人確認を求める連絡が届いても、メールに書かれたリンクをすぐに開かず、公式サイトなどから内容を確認する方が安全です。
今回の件に関する案内は、GMOリサーチ＆AIの公式発表で確認できます。
まとめ
GMOリサーチ＆AIが運営するinfoQでは、ソフトウェアの脆弱性を悪用した不正アクセスによって、最大約95万件の個人情報が外部に持ち出されました。
さらに、611件、約287万円相当のポイントが不正にAmazonギフトコードへ交換されたことも確認されています。
ポイントや電子マネーなど、金銭的な価値を持つサービスを提供している企業では、個人情報の管理とあわせて、不正利用を防ぐための対策も必要です。
システムの脆弱性を定期的に確認し、不自然な操作を早期に発見できる仕組みを整えておくことが、利用者の情報と資産を守ることにつながります。
参考情報
- GMOリサーチ＆AI株式会社「infoQへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月5日）
- INTERNET Watch「GMOリサーチ＆AI『infoQ』に不正アクセス」（2026年10月6日）
※本記事は2026年10月7日時点の公式発表および公開情報をもとに、株式会社CyberCrewが独自に整理・解説したものです。調査の進展により、被害範囲や原因などが更新される可能性があります。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
