infoQの不正アクセスはいつ発覚したのか
infoQには10月2日以降に第三者が侵入しており、会員の個人情報が最大94万8,498件社外へ持ち出されました。 infoQはアンケートに答えてポイントを貯め、Amazonギフトコードなどに交換できるGMOリサーチ&AIのアンケートサイトです。10月2日以降の侵入は後から調べて判明したもので、GMOリサーチ&AIが気づいたのは翌3日です。
10月3日の午前に会員から問い合わせがあり、調べたところ不正アクセスが見つかりました。対象の会員には10月5日から順にメールで個別に連絡するとのこと。GMOリサーチ&AIは10月5日に公式サイトで経緯を公表し、同日に個人情報保護委員会へ報告しています。
ポイント交換とアンケートサイトの停止【10月3日】
GMOリサーチ&AIは発覚した10月3日のうちにポイント交換を止め、infoQ全体を停止しました。 時刻ごとの対応は以下のとおりです。
10月3日の対応（GMOリサーチ&AIの公表より）
停止中のinfoQサイトには「緊急メンテナンス」と表示されていましたが、実際は不正アクセスへの対応でした。停止後にinfoQへアクセスできなかったのはこの対応のためです。GMOリサーチ&AIは説明が遅れたことも謝罪しています。
"10月3日（土）午前 会員さまからのお問い合わせを受けて調査した結果、不正アクセスが行われていたことを確認／同日11時24分 ポイント交換を停止（Amazonギフトコード、GMOポイント）" — 「2. 経緯」より公式情報を見る →
個人情報漏えいは最大94万8,498件、マイナンバーは含まず
漏えいの対象は最大94万8,498件（10月5日時点）で、GMOリサーチ&AIが個人情報を保有している会員の全件です。 一部の会員に限った話ではないので、infoQに登録していた人は自分も対象に含まれると考えておく必要があります。
流出した個人情報は氏名や住所【カード情報は保有せず】
氏名や連絡先だけでなく、保有ポイント数まで会員情報が持ち出されました。 公表された情報を種類ごとにまとめると、次のとおりです。
| 種類 | 情報 |
|---|---|
| 本人を特定する情報 | 氏名・フリガナ・性別・生年月日 |
| 連絡先 | メールアドレス・住所・電話番号 |
| ログイン情報 | パスワード（暗号化されたもの）・会員ID |
| 利用状況 | ニックネーム・保有ポイント数・最終回答日など |
クレジットカード情報とマイナンバーは、そもそもGMOリサーチ&AIが保有していないため対象外。取引先の情報も含まれていません。GMOリサーチ&AIは、infoQ以外の自社サービスで不正アクセスは確認されていないとしています。
"(1) 件数 最大94万8,498件（10月5日時点。当社が個人情報を保有している全件）／(3) 含まれない情報 クレジットカード情報、マイナンバーを保有しておりません。" — 「3. 対象となる情報」より公式情報を見る →
Amazonギフトコードへの不正交換は全額補填されるのか
会員が知らないうちに、ポイントをAmazonギフトコードへ交換された被害も611件・2,869,500円分ありました。 infoQのポイントはギフトコードなどに交換できるため、会員にとって現金に近い価値があります。
補填は約287万円分【二次被害の疑いはサポートセンターへ】
不正に交換された約287万円分のポイントは、GMOリサーチ&AIが全額を補填します。 ポイント交換は10月3日11時24分から停止しており、その後の交換は受け付けていません。
身に覚えのない交換に気づいたら、infoQサポートセンターへ連絡するよう案内されています。窓口はメールで24時間受け付けており、回答は平日の10時から18時です。
"一部の会員さま（611件・2,869,500円）のポイントが、ご本人の意思によらずAmazonギフトコードに交換されたことを確認しております。" — 「4. ポイントの不正な交換」より公式情報を見る →
情報漏えいの原因はソフトウェアの脆弱性、再発防止策は未公表
GMOリサーチ&AIは、第三者がinfoQのサイトで使っていたソフトウェアの脆弱性を悪用して侵入したとしています。 現在はセキュリティ専門会社の協力を得て、引き続き詳しく調べています。
脆弱性の製品名や手口は未公表【再発防止策は改めて公表】
どのソフトウェアのどんな弱点が使われたのかは、GMOリサーチ&AIがまだ公表していません。 侵入後にどのように情報を持ち出したのかも公表されておらず、GMOリサーチ&AIは調査した結果と再発防止策をあらためて公表するとしています。
サービス再開は、11月11日の最終報で11月18日11時と発表されました（2026年11月11日、GMOリサーチ&AIが公表）。infoQの停止は、GMOリサーチ&AIが企業から請け負うリサーチ業務の一部にも影響しています。
"第三者が、当社サイトで使用していたソフトウェアの脆弱性を悪用して侵入したことを確認しております。" — 「5. 原因」より公式情報を見る →
パスワードの使い回しとなりすましメールにどう備えるか
会員がいま取るべき行動はパスワードの使い回しをやめることと、GMOリサーチ&AIやinfoQを名乗る連絡を疑うことの2つです。 どちらも、GMOリサーチ&AIが会員へのお願いとして公式発表に書いている内容です。
パスワード変更は同じものを使うポイントサイトなど他サービスも
infoQと同じパスワードを使っている他のサービスがあれば、そちらのパスワードを変更してください。 例えば、同じメールアドレスとパスワードで登録しているポイントサイトやネット通販も変更の対象です。流出したパスワードは暗号化されていますが、GMOリサーチ&AIは念のため同じパスワードを使う他サービスでの変更を勧めています。
新しいパスワードを自分で考えるのが手間なら、SOKUFUのパスワード生成ツールを使う手もあります。文字数と文字の種類を選ぶだけで簡単にランダムなパスワードを作ることができます。
なりすましメール対策として運営会社を装うフィッシングに注意
GMOリサーチ&AIやinfoQを名乗るメール・SMS・電話が届いても、そのまま応じないことが基本です。 今回の漏えいではメールアドレスと電話番号と住所も対象に含まれるため、GMOリサーチ&AIは自社やinfoQを装った不審なメールやSMSに注意するよう呼びかけています。
補填や本人確認を名目にした連絡でもメールやSMSのリンクは開かないでください。気になるときは自分で公式サイトを開いてお知らせなどを確認するのが安全です。同じように個人情報が流出したアフラック情報漏えいの対象者は約440万人、原因と今できる対応の件でも、流出した情報で信用させる詐欺への注意が呼びかけられていました。
infoQ不正アクセスで会員がやることは、使い回していたパスワードの変更とGMOリサーチ&AIを名乗る連絡を疑うことの2つです。詳しい原因と再発防止策は、GMOリサーチ&AIの最終報で公表されています。
"パスワードは暗号化されておりますが、念のため、infoQと同じパスワードを他のサービスでもお使いの場合は、そのサービスのパスワードを変更されることをお勧めします。／当社やinfoQを装った不審なメール、SMS、電話にご注意ください。" — 「7. 会員の皆さまへのお願い」より公式情報を見る →
FAQ
- infoQに登録していた会員は全員が漏えいの対象ですか？
- 対象と考えておくのが妥当です。漏えいの対象は最大94万8,498件で、GMOリサーチ&AIが個人情報を保有している全件だと公表されました。対象の会員には10月5日から順にメールで個別に連絡するとのこと。なお、11月11日の最終報で、外部に持ち出された個人情報は89万4,082件に確定しました（2026年11月11日、GMOリサーチ&AIが公表）。
- 不正に交換されたポイントは戻りますか？
- 戻ります。本人の意思によらずAmazonギフトコードへ交換されたポイントは611件・2,869,500円分で、GMOリサーチ&AIが全額を補填すると発表しました。11月11日の最終報では、不正交換は計643件・2,955,000円分（Amazonギフトコードは639件・2,953,000円分）、対象は453名と確定しています（2026年11月11日、GMOリサーチ&AIが公表）。身に覚えのない交換に気づいたら、infoQサポートセンターへ連絡するよう案内されています。
- infoQはいつ再開しますか？
- GMOリサーチ&AIは11月11日の最終報で、2026年11月18日11時にinfoQを再開すると発表しました。再開にあわせて、ログイン方式はGoogleアカウントによる認証が必要な方式に変わります（2026年11月11日、GMOリサーチ&AIが公表）。
関連する記事
ニトリに不正アクセス、会員・購入者の情報が最大3,762万件が流出の可能性ニトリホールディングスは2026年11月9日、自社システムへの不正アクセスを発表しました。会員や購入者の氏名・住所・電話番号などを含む情報が、最大3,762万件流出した可能性があるとのこと。ログインパスワードとクレジットカード情報は含まれません。ニトリや配送事業者を装うメールやSMSのリンクにはアクセスせず、公式サイトで本物か確認しましょう。
ドトールの通販サイトに不正アクセス、会員2万4,762件が流出した可能性ドトールコーヒーの公式通販サイト「ドトール オンラインショップ」が不正アクセスを受け、会員2万4,762件の氏名や住所、電話番号、メールアドレスが流出した可能性があると発表しました。ログインパスワードとクレジットカード情報は流出していません。10月には従業員ら951名分の流出も公表しています。ドトールを装うメールやSMSのリンクにはアクセスしないでください。
イープラスのフェス専用アプリに総当たり攻撃、3,571件が漏えいイープラスは2026年10月30日、音楽フェス「ポルノ超特急2021」専用アプリで前方指定観覧エリアの申込み情報を管理するシステムが総当たり攻撃を受け、申込者3,571件の氏名・電話番号・メールアドレスが漏えいしたと公表しました。カード情報とパスワードは含まれず、9月のスマチケに続く2度目の漏えいです。
東京海上ダイレクトのマイページに不正アクセス、契約71件の情報が漏えい東京海上ダイレクト損害保険は、マイページとアプリへの不正アクセスで、契約71件分、関係者を含めて93人の情報が漏えいしたと発表しました。氏名や住所のほか、カード番号の下4桁と有効期限、事故内容も含まれます。&eとドコモの自動車保険はWebサイトでの受付を停止しています。契約者はカードの明細を確かめ、保険会社を装う連絡のリンクにはアクセスしないでください。