Gポイント最大約7万件の情報漏えいの可能性、会員識別子で何をされるのかまとめました

2026年9月30日、ジー・プラン株式会社は、ポイント交換サービス「Gポイント」への外部からの不正アクセスにより、会員識別子が最大約7万件漏えいした可能性があると公表しました[1]。10月16日の続報では、漏えいの対象となったお客さまへ、登録済みのメールアドレス宛に個別に連絡するとしています[2]。

「会員識別子だけなら大丈夫なのか」「自分にどんな影響があるのか」。この記事では、その2つに答えるために、漏れた可能性のある情報で何ができるのか、Gポイントの中で認証が関わる場所はどこかを、公開情報から整理しました。事故の経緯は短くまとめます。

この記事の要点

• 公表では、漏えいの可能性がある項目は会員識別子のみで、氏名や住所は記載されていません。ただし「識別子だけなら安心」とは言い切れません。
• 対象となった利用者は、登録メールアドレス宛の個別連絡を確認してください。連絡の内容が公式かどうかは、公式サイトのお知らせと照らし合わせてください。
• 会社側がまず見直したいのは、識別子を本人確認や復旧の手がかりに使っていないかどうかです。

なお、本記事は公表文など公開情報だけをもとにしています。サイトやアプリを実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文と続報[1][2]によると、概要は次のとおりです。

公表文では、追加の不正アクセスは現時点で検知されていないとしています[1]。

識別子で、何ができてしまうか

公表では、漏えいの可能性があるのは会員識別子で、氏名や住所などは記載されていません[1]。識別子そのものは、パスワードのような「本人である証明」ではありません。ただ、次のような使われ方が一般的に考えられます。

大事なのは、識別子は「知っていれば本人らしく見える」情報になりうる点です。本人確認の質問や、問い合わせ窓口での照合に使われていると、その時点で弱くなります。

一方で、この記事で言えることには限りがあります。件数は「最大」とされ、項目も会員識別子のみと公表されています。攻撃の手口や不正アクセスの期間は、公表文では確認できませんでした。そのため、ここで書いたのは「識別子が漏れた場合に考えられること」であり、実際に悪用があったという話ではありません。本記事の取得時点で、不正利用が確認されたという公表は見つかりませんでした。

この記事の読み手は2種類です。ひとつは、会員として不安を感じて検索している利用者。もうひとつは、この会社の社員や関係者で、どんな情報が広まったかを社内で共有する人たちです。どちらにとっても、「何が漏れたか」と「何が漏れていないか」を分けて読むことが出発点になります。

Gポイントで認証が使われる場所

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、再発防止策について「システムについて抜本的な見直しを行っております」とのみ書かれています[2]。認証の観点からは、次の順で見直すことが考えられます。

1. 識別子を本人確認や復旧の手がかりにしていないかを確かめる。窓口で識別子だけで本人と見なす運用になっていれば、まずそこから外します。仕組みを作り直さなくても、運用の見直しから始められます。
2. 交換を再開する時、パスワードだけに頼らない確認をひとつ足す。ポイントが動く場面（交換や登録情報の変更）に追加の確認を入れる考え方です。毎回のログインを重くせず、狙われる場面だけを固めます。
3. 対象者への連絡文に、公式の連絡かどうかを見分ける手がかりを入れる。たとえば、どの経路で何を連絡するか、メールの中では何を聞かないか、を明記する方法があります。公式サイトのお知らせへ誘導するのも一つです。

どの見直しも、利用者に負担を移すものにしないことが大切です。新しい確認を入れる時は、何を確かめるのか、なぜ必要なのかを利用者にわかる言葉で伝える。それが、事故のあとに信頼を取り戻す一歩になります。

利用者がやるとよいこと

• Gポイントのパスワードを、他のサービスと同じものにしていないか確かめ、同じなら変えます。
• 個別連絡が届いても、メール内のリンクからそのままログインしないでください。公式サイトのお知らせで状況を確かめます。
• 偽メールや偽SMSは、本物と同じ名前や会員番号を入れてくることがあります。急かされたら、一度立ち止まります（一般論）。
• 連絡の中に自分の情報が正しく入っていても、それだけで本物とは限りません。送り主のアドレスや、リンク先のURLが公式の案内と一致するかを確かめてください。
• 同じパスワードを他のサービスでも使っていた場合は、そちらも変えておくと安心です（一般論）。

認証の観点から：「番号を知っている」と「その端末を持っている」は違う

今回漏れた可能性があるのは、会員識別子です。ここで分けて考えたいのは、「識別子を知っていること」と「本人の端末や回線を持っていること」は別物だという点です。

前者は、情報が漏れた時点で知られてしまいます。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに、持っているかの確認を足す方法は、まず公式の最新の案内を確かめ、同じパスワードを使い回していないかを見直すところから始めてください。

お問い合わせはこちら