GMOリサーチ&AI「infoQ」、ソフトウェアの脆弱性で最大94万件が持ち出される

事案の概要データ

図解：この事故の構造

何が起きたのか

GMOリサーチ&AIは2026年10月5日、アンケートモニターサイト「infoQ」で使用していたソフトウェアの脆弱性を悪用されて侵入を受け、最大948,498件の情報が持ち出されたことを公表しました。

infoQは、アンケートに回答するとポイントがもらえるサービスです。登録者はアンケートに答えるため、年齢・職業・家族構成・収入帯・趣味嗜好といった属性情報を登録しています。

アンケートデータの特殊性

アンケートモニターのデータは、通常の会員情報とは性質が異なります。氏名や連絡先だけでなく、「その人がどういう人か」を詳細に描き出せる情報が集まっているからです。

世帯年収、持病の有無、политической な関心、購入している商品のブランド——アンケートの設問によっては、要配慮個人情報に近い内容が含まれることもあります。

さらに、ポイント交換のために金融機関の口座情報を登録している場合もあり、流出した場合の影響は小さくありません。

「使っているソフト」が原因の事案が続く

原因は「サイトで使用していたソフトウェアの脆弱性」です。自社が開発したプログラムではなく、組み込んで使っていた製品やライブラリの弱点が突かれました。

2026年はこのパターンが繰り返されています。6月のKDDI（第三者製ソフトウェアの脆弱性・最大約1,422万件）、9月のGyazo（アップロードサーバの脆弱性・約2,362万件）、9月30日のVOISING（BIツールの既知の脆弱性・約17万件）——いずれも「部品」の脆弱性です。

対策は地味ですが明確です。自社のシステムが何のソフトウェアで組み立てられているかの一覧（部品表）を持ち、それぞれの脆弱性情報を追い、パッチを当てる。この運用がないと、何を守ればいいのかすら分かりません。

時系列で見る経過

• 2026年10月サイトで使用していたソフトウェアの脆弱性を悪用され侵入される
• 2026年10月データの持ち出しを確認し、調査を開始
• 2026年10月5日最大948,498件の持ち出しを確認したことを公表

中小企業が学ぶべきポイント

1. 自社システムが使っているソフトウェアの一覧（部品表）を作る。
2. 部品の脆弱性情報を追う担当と頻度を決める。月1回でも効果がある。
3. アンケート・会員属性データは「その人がどういう人か」を描き出せる。重く扱う。
4. ポイント交換用の口座情報は、使い終わったら削除する運用にする。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope