脆弱性を悪用したサーバー侵入

GMOリサーチ＆AIが運営するアンケートサイト「infoQ」で、会員情報が外部に流出しました。対象は最大94万8498件で、ポイントの不正交換も611件確認されています。

同社によると、第三者がサーバーへ不正アクセスしたのは2026年10月2日以降です。10月3日に会員から問い合わせを受けて調査し、ソフトウェアの脆弱性が悪用されてサーバーに侵入されたと判明しました。

GMOリサーチ＆AIは攻撃経路を遮断し、infoQのサービスとGMOポイントの交換を停止しました。同社は、個人情報保護委員会に10月5日に報告したと発表しています。

最大94万8498件の会員情報が対象

流出対象には、氏名、住所、電話番号、生年月日、性別、メールアドレス、会員IDが含まれます。暗号化されたパスワード、ニックネーム、保有ポイント数も対象情報に挙げられています。

不正交換が判明したのは611人分のポイントです。第三者がポイントをAmazonギフトコードへ交換し、被害額は286万9500円相当になりました。

暗号化とハッシュ化は仕組みが異なる

パスワードの暗号化は、鍵を使って元の文字列へ戻せる方式です。一方、ハッシュ化は入力から固定長の値を作る一方向の処理で、通常はハッシュ値から元のパスワードを直接復元できません。

ただし、ハッシュ化されていれば常に安全というわけではありません。短く単純なパスワードは候補を総当たりで試される可能性があり、計算の速いハッシュ関数では攻撃側が多くの候補を試せます。

ソルトはパスワードごとに加える値で、同じパスワードから同じハッシュができる状況を避け、事前計算した表による解析を難しくします。bcryptやArgon2など、計算を意図的に重くする方式は、候補を試す速度を抑えるために使われます。

GMOリサーチ＆AIは、対象情報に「暗号化されたパスワード」が含まれると公表しています。暗号化とハッシュ化は性質が異なるため、復元リスクは保存方式や鍵の管理、パスワードの強さなどによって異なります。

漏えい報告の対象と期限

個人情報保護委員会事務局は、要配慮個人情報の漏えい、財産的被害のおそれがある漏えい、不正目的による漏えい、1000件を超える漏えいを報告対象の類型として説明しています。最初の三つは、件数にかかわらず対象です。

報告は速報と確報の二段階です。速報は対象事態を知ってから速やかに行い、目安はおおむね3～5日以内です。確報は原則30日以内で、不正目的によるおそれがある漏えいでは60日以内です。

個人情報保護委員会事務局は、不正アクセスによる個人データの漏えいを、不正目的による漏えいの事例として挙げています。報告対象となる漏えいでは、本人への通知も求められます。