infoQ 89万件の情報漏えい、漏れた生年月日とパスワードで何をされるのかまとめました

2026年10月14日、GMOリサーチ&AI株式会社は、運営するアンケートサイト「infoQ」への不正アクセスについて第2報を公表し、会員の個人情報89万4,082件が外部に持ち出されたことを確定したとしています[1]。持ち出されたのは、氏名・フリガナ・性別・生年月日・メールアドレス・住所・電話番号・暗号化されたパスワード・会員IDなどです。クレジットカード情報とマイナンバーはもともと保有していないとしていますが、それで安心とは言い切れません。

今回はもう一つ、一部の会員のポイントが本人の意思によらずAmazonギフトコードに交換される被害も確認されています[1]。情報が漏れただけでなく、お金に近いものがすでに動いた事故です。

「自分の生年月日やパスワードで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、サイトの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 今回は「本人確認に使われてきた情報」がまとめて漏れました。名前・住所・生年月日まで正しく書いた偽メールや偽SMSが届きやすくなります。
• infoQと同じパスワードや似たパスワードを他のサービスで使っている人は、そちらを先に変えておくと安心です。
• 会社側がまず見直したいのは、ポイント交換の確認方法と、生年月日などの「知っている情報」で本人と見なしている場面です。

なお、本記事は公表文や公式のよくある質問など、公開情報だけをもとにしています。サイトの画面を実際に試すような調査はしていません。infoQは10月3日からサービスを停止しているため、よくある質問の内容は停止前の公開内容に基づいており、再開後も同じかは確認できていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文（第1報[2]・第2報[1]）によると、概要は次のとおりです。

同社は会員に対し、同じパスワードや似たパスワードを他のサービスで使っている場合は変更し、身に覚えのないログインがないか確かめること、同社やinfoQを装った不審なメール・SMS・電話に注意することを呼びかけています[1]。

漏れた情報で、何ができてしまうか

今回の特徴は、連絡先だけでなく「生年月日」や「住所」といった、本人であることの確認によく使われる情報が一緒に漏れたことです。パスワードは暗号化されていたとしていますが、どのような方式で暗号化されていたかは公表文に書かれていません[1]。

大事なのは、infoQのパスワードが無効化されても、生年月日や住所は変えられないという点です。パスワードは作り直せますが、生年月日を本人確認に使っている場面は、これから先もずっと弱いままになります。

このサービスで認証が使われる場所

公開情報で確認できたinfoQの機能から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、調査の結果を踏まえて再発防止策を講じ、安全性を確かめたうえでサービスを再開するとしています[1]。現時点で、ログインやポイント交換の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. ポイント交換の確認を、メールだけに頼らない。今回は実際にポイントが動きました。ポイントはお金に近く、攻撃者にとって一番の動機になります。登録時にはすでに電話番号の回線を確かめる手順があるので[4]、交換の時にも「その電話を持っているか」を確かめる形に広げることが考えられます。
2. 登録情報の変更から、生年月日と秘密の質問への依存を外す。生年月日は漏れ、しかも変えられません。メールアドレスの書き換えは乗っ取りの入口になるため、変更の前に、知っている情報ではなく持っているもので確かめることが考えられます。
3. 再開時のパスワード再設定と、問い合わせ窓口の本人確認を見直す。全会員が一斉に再設定する再開の時期は、偽の案内メールが最も効く時期です。窓口でも「名前・住所・生年月日・電話番号が合えば本人」という扱いになっていないか。これは仕組みを作り直さなくても、運用の見直しから始められます。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回漏れた生年月日や住所は、パスワードと違って作り直せません。これまで本人確認に使ってきた「知っている情報」は、漏えいの後では本人である証拠としてほとんど役に立たなくなります。

ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。今回は電話番号も漏れましたが、回線そのものは会員の手元から動いていません。infoQは登録時にすでに回線を確かめる手順を持っています[4]。その考え方を、ポイント交換や登録情報の変更といった「お金と乗っ取りに近い場面」に広げることが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[7]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

ポイント交換や登録情報の変更に「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら