Signal
📡 Signal｜GMO リサーチの infoQ、流出は 89 万 4,082 件で確定
infoQ の不正アクセスで、個人情報が持ち出された件数は 89 万 4,082 件で確定。退会会員 9,068 件分は会社が個人情報を消していたため、持ち出されても中身は空だった。
GMO リサーチ&AI は10月14日、アンケートサイト「infoQ」への不正アクセスについて第2報を出し、個人情報が外部に持ち出された件数を 89 万 4,082 件で確定した。10月5日の第1報で示した「最大 94 万 8,498 件」から、5 万 4,416 件少ない。
GMO リサーチ&AI のお知らせ (2026年10月14日・第2報・確定件数と内訳)GMOリサーチ＆AI
減った分の内訳に、この事件の教訓がある。持ち出された記録のうち 9,068 件は、退会から 2 か月以上たち、同社がすでに個人情報を消していた会員のもので、中身は空だった。消してあったデータは、盗まれても漏れない。
10月6日の記事 の続報として、第2報で新たに分かったことを整理する。
94 万件の内訳が三つに分かれた
第2報は、第1報の最大値 94 万 8,498 件を次の三つに分けた。
- 個人情報が外部に持ち出されたもの: 89 万 4,082 件 (確定)
- 外部に持ち出されたが、個人情報を含まないもの: 9,068 件
- 外部に持ち出されていなかったもの: 4 万 5,348 件
三つを足すと、第1報の 94 万 8,498 件に一致する。第1報の数字は、同社が持つ会員の記録の全件を「最大」として示したもので、調査で実際に持ち出された範囲が絞り込まれた。
持ち出された情報の項目は第1報と変わらない。氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員 ID、ニックネームや保有ポイント数などの登録情報だ。クレジットカード情報とマイナンバーは、そもそも保有していない。
退会会員の記録は、消してあったから空だった
9,068 件の注記は短い。退会から 2 か月以上が経ち、プライバシーステートメントに基づいて個人情報をすでに削除していた会員の記録で、個人情報は含まれていない、というものだ。
侵入者は記録を持ち出した。しかし、退会した会員の分は、会社が自社の規定どおりに中身を消していたため、名簿として使える情報が残っていなかった。漏えいの規模を最後に決めたのは、侵入を防げたかどうかではなく、保存しておく必要のなくなったデータを消していたかどうかだった。
国内では同じ週、ブックオフが第2報で、退会した会員 21 万 2,371 人分を含む 638 万 3,279 人の情報が漏えいしたと公表している。退会した人の情報まで残っていた会社と、消していた会社で、退会者の被害は分かれた。
パスワードは全会員分を無効に、再開は未定
対応の面では、10月7日に全会員のパスワードを無効にした。サービスを再開する時に、あらためて手続きを案内するとしている。再開の時期は示していない。
ポイントの被害は第1報と同じだ。611 件、計 286 万 9,500 円分のポイントが、本人の意思によらず Amazon ギフトコードに交換されていた。同社は、サービスの再開時に全額を補填するとしている。
原因は、サイトで使っていたソフトウェアの脆弱性を突かれたことで、外部のセキュリティ会社と調査を続けている。どのソフトウェアのどの脆弱性かは、第2報にも書かれていない。調査やサービスの停止で、一部の調査の業務に影響が出ており、対象の取引先には個別に連絡するという。取引先の情報は漏えいの対象に含まれていない。
次に見るもの
確認先は、GMO リサーチ&AI のプレスルームの「お知らせ」だ。次の発表で見るのは、悪用された脆弱性の中身と再発防止策、そして infoQ の再開の時期と、再登録の手続きの中身の 3 点になる。
会員の側でできることは変わらない。infoQ と同じか似たパスワードを他のサービスで使っているなら変え、見覚えのないログインがないかを確かめる。infoQ や同社を名乗るメール、SMS、電話には注意し、身に覚えのないポイント交換はサポートセンターに知らせる。
データを集める側にとっては、9,068 件が一つの答えになった。持ち続ける理由のなくなった個人情報を消すことは、侵入を防ぐ対策が破られた後にも効く、最後の防御になる。
ことば
- プライバシーステートメント — 企業が個人情報をどう集め、使い、いつ消すかを利用者に示す方針の文書。infoQ では退会から一定の期間が過ぎた会員の個人情報を削除すると定めており、今回それが被害を小さくした。
- 第2報 — 事故の発表を調査の進み具合に合わせて更新するもの。第1報の「最大」の数字が、調査を経て確定値に置き換わることが多い。
- 個人情報保護委員会 — 個人情報の取り扱いを監督する国の機関。漏えいの恐れがある場合、事業者は報告を求められる。GMO リサーチ&AI は10月5日に報告した。
🔗 一次ソース