GMOインターネットグループ傘下の東京・渋谷に本社を置くGMOリサーチ＆AIは10月6日、自社が運営するアンケートサイト「infoQ」への不正アクセスにより、最大94万8,498件の会員個人情報が流出したと明らかにした。会員からのポイント交換の不審な問い合わせを受けて10月3日に調査を開始し、同日からサービスを停止。10月5日に個人情報保護委員会へ報告した。
今回の漏えいは今年の国内消費者データ事故の中でも大規模だ。氏名や住所に加え、611件のアカウントでポイントが本人の意思なくAmazonギフトコードに換えられ、合計286万9,500円相当が不正利用された。
侵入の経緯
会社は10月2日以降に第三者からの不正アクセスが始まったとみている。10月3日午前、会員からの問い合わせをきっかけに社内調査を行い、infoQサーバーへの侵入を確認した。
同日の対応は次のように進んだ。午前11時24分にポイント交換を停止、午後2時15分に攻撃経路を遮断、午後3時に外部からのinfoQアクセスを遮断してサービスを停止した。以降はメンテナンス表示のまま、フォレンジック調査が続いている。
原因は調査サイトのソフトウェア脆弱性の悪用とされる。他サービスへの横展開は確認されていないが、再発防止策の検証が終わるまでinfoQは再開しない。
流出したデータ
10月5日時点で会社が保有していた会員情報がほぼ全件が対象。氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員ID、ニックネーム、保有ポイント、最終回答日などの利用状況が含まれる。
クレジットカード番号やマイナンバーはinfoQ上に保存されていないと会社は説明した。決済情報の流出リスクは限定的だが、フィッシングやパスワード使い回しによる二次被害の懸念は残る。
影響会員には順次メールで連絡し、他サイトと同一パスワードを使っている場合は変更を促している。
ポイント不正利用と補填
攻撃者は静的な個人情報に加え、稼働中のアカウントのポイントも現金化した。611件でAmazonギフトコードへの交換が確認され、会社は286万9,500円を全額補填する。
infoQは調査回答でポイントを付与し、GMOグループサービスや外部ギフトと交換できる仕組みだった。連絡先と残高が同時に抜かれる点が狙われた可能性がある。
監督当局と市場への影響
10月5日に個人情報保護委員会へ正式報告。NHKや日本経済新聞が朝のニュースで報じ、他のマーケティングリサーチ各社にもAPI管理やポイント決済の点検圧力が及ぶ。
親会社GMOインターネットグループはホスティングや金融で知られるが、調査子会社で約95万人分の連絡先が流出した事態は、グループ横断のセキュリティ統制への疑問を招く。会社は「大切な情報をお預かりする立場として深くおわびする」と述べ、原因究明後に再発防止策を公表する。
会員が取るべき対応
infoQの再開日は未定。再開時には調査結果とシステム分離などの構造改革を併せて示す方針だ。
それまでの間、正確な住所を口にした不審な電話や、ポイント残高に触れるメールには注意が必要だ。メールの二要素認証を有効にし、見知らぬ景品案内はたとえ内容が当たっていても無視するのが無難だ。