【89万4,082件】infoQに不正アクセス、会員情報が漏えい｜ポイント不正交換は全額補填

GMOリサーチ&AIは2026年10月5日、同社が運営するアンケートサイト「infoQ（インフォキュー）」が不正アクセスを受け、会員の個人情報が外部に持ち出されたと公表しました。10月14日の第2報で、外部に持ち出された個人情報は89万4,082件と確定しています（第1報では最大94万8,498件）。一部の会員のポイントが本人の意思によらずAmazonギフトコードに交換される被害も起きており、同社は全額を補填するとしています。

infoQは10月3日からサービスを停止しており、全会員のパスワードは10月7日に無効化されました。この記事では、2回の発表の内容と、会員がいまやっておくべきことをまとめます。

経緯：10月3日に不正アクセスを確認し、サービスを停止
外部に持ち出された情報と件数
ポイントが不正にAmazonギフトコードへ交換された
GMOリサーチ&AIの対応
会員がとるべき対応
問い合わせ先
まとめ
出典

経緯：10月3日に不正アクセスを確認し、サービスを停止

日時	内容
10月2日（金）以降	第三者による不正アクセス（その後の調査で判明）
10月3日（土）午前	会員からの問い合わせを受けて調査し、不正アクセスを確認
同日11時24分	ポイント交換を停止（Amazonギフトコード、GMOポイント）
同日14時15分	攻撃経路を遮断
同日15時	外部からinfoQへのアクセスを遮断（サービス停止）
10月5日（月）	個人情報保護委員会へ報告。第1報を公表
10月6日（火）	全会員へパスワード変更を求めるメールを順次送付。警察へ相談
10月7日（水）	全会員のパスワードを無効化
10月14日	第2報を公表。持ち出された件数を確定

サービス停止後のinfoQのサイトでは「緊急メンテナンス」と案内していましたが、同社は停止が本件への対応によるものだったと説明し、説明が遅れたことを謝罪しています。

外部に持ち出された情報と件数

区分	件数
外部に持ち出された個人情報（今回の対象）	89万4,082件
外部に持ち出されたが、個人情報を含まないもの	9,068件
外部に持ち出されていなかったもの	4万5,348件
第1報で公表した件数（最大）	94万8,498件

「個人情報を含まないもの」は、退会から2か月以上たち、プライバシーステートメントに基づいて個人情報をすでに削除していた会員の記録です。第1報の時点で全会員にメールを送ったため、連絡を受けた人の中には対象外の人も含まれています。

項目	公表内容
持ち出された情報	氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、パスワード（暗号化されたもの）、会員ID、その他の会員登録情報（ニックネーム、保有ポイント数、最終回答日等のご利用状況に関する情報）
含まれない情報	クレジットカード情報、マイナンバー（同社はもともと保有していない）
原因	第三者が、同社サイトで使っていたソフトウェアの脆弱性を悪用して侵入

取引先の情報は今回の対象に含まれていません。infoQ以外の同社サービスへの不正アクセスも、現時点で確認されていないとしています。

ポイントが不正にAmazonギフトコードへ交換された

一部の会員のポイントが、本人の意思によらずAmazonギフトコードに交換されていました。規模は交換件数611件、計286万9,500円です。不正に交換されたポイントは同社が全額を補填し、サービス再開時に対象会員のアカウントへ付与します。付与が終わった人には個別にメールで知らせるとしています。

GMOリサーチ&AIの対応

infoQのサービスを停止し、外部からのアクセスを遮断
10月5日に個人情報保護委員会へ報告、10月6日に警察へ相談
全会員へ10月5日から順次、個別にメールで連絡
10月7日に全会員のパスワードを無効化。サービス再開時にあらためて手続きを案内する
退会を申し出た会員は、順次退会手続きを進めている
セキュリティ専門会社の協力を得て調査を継続し、再発防止策を講じて安全性を確認したうえでサービスを再開する。調査結果と再発防止策は改めて公表する

会員がとるべき対応

同じパスワードを使っている他のサービスを変更する

同社は、infoQと同じか似たパスワードを他のサービスでも使っている場合、そのサービスのパスワードを変更し、身に覚えのないログインがないか確認するよう求めています。持ち出されたパスワードは暗号化されたものです。infoQ自体のパスワードはすでに無効化されているため、再開時の案内を待つ形になります。

infoQやGMOリサーチ&AIを装う連絡に注意する

同社は、同社やinfoQを装った不審なメール、SMS、電話に注意するよう呼びかけています。

身に覚えのないポイント交換は窓口へ連絡する

身に覚えのないポイント交換に気づいた場合は、下記のinfoQサポートセンターへ連絡するよう案内されています。

再開時の案内は公式サイトで確かめる（筆者の見解）

公式発表には記載がありませんが、筆者としては、サービス再開やパスワード再設定の案内がメールで届いた場合も、メール内のリンクからではなく、ブックマークしたinfoQの公式サイトや同社のお知らせから手続きすることをすすめます。再設定の案内は偽メールの題材になりやすいためです。

問い合わせ先

infoQサポートセンター
メール：infoq-support@gmo-research.ai（24時間受付）
対応時間：平日10時〜18時（土日祝日・年末年始を除く。時間外の問い合わせは翌営業日以降に順次回答）

まとめ

infoQへの不正アクセスで、89万4,082件の個人情報が外部に持ち出されました。暗号化されたパスワードも含まれるため、同じパスワードを他のサービスで使い回している人は、すぐに変更しておくのが確実です。不正に交換されたポイントは同社が全額を補填し、サービス再開時に付与されます。再開の時期や手続きは、同社の続報で確認してください。