95万件が漏れたinfoQ、消えたポイントは287万円分　GMO、お前もか…

GMOリサーチ＆AIは10月5日、運営するアンケートサイト「infoQ」が不正アクセスを受けたと発表した。外に出た可能性がある会員の情報は、最大94万8498件。10月5日の時点で会社が持っていた分の、全部だという。

中身は、氏名、フリガナ、性別、生年月日、住所、電話番号、メールアドレス、会員ID、ニックネーム、暗号化されたパスワード、保有ポイント数など。クレジットカード情報とマイナンバーは「保有しておりません」と会社は書いている。

被害はもう一つある。611件分のポイントが、本人の意思によらずAmazonギフトコードに交換されていた。金額は286万9500円。この分は会社が全額を補填するという。

まず止めたのは、ポイントの出口

侵入が始まったのは10月2日以降だった。会社が気づいたのは翌3日の午前で、きっかけは会員からの問い合わせだった。どんな問い合わせだったのかは、発表に書かれていない。

そこからの動きは分単位で出ている。11時24分、ポイントの交換を止めた。14時15分、攻撃の経路をふさいだ。15時、外からinfoQを使えないようにして、サービスを止めた。先に閉めたのは、サイトではなくポイントのほうである。

なぜ入られたのか。会社は、サイトで使っていたソフトウェアの脆弱性を「悪用して侵入した」と説明している。どのソフトの、どの弱点かは出していない。調べはセキュリティの専門会社と一緒に続けており、10月5日には個人情報保護委員会へ報告した。

数を並べてみる。94万8498件のうち、ポイントを抜かれたのは611件。0.1%にも届かない。286万9500円を611で割ると、1件あたり約4700円だ。

では、95万件と287万円、どちらが重いのか。ここが、ややこしい。287万円は会社が全額を戻すという。一方、外に出た氏名や生年月日、住所について、同じような手当ては示されていない。会社が会員に求めているのは、注意と自衛のほうだ。infoQを名乗る不審なメールやSMS、電話に気をつけること。infoQと同じパスワードを他のサービスでも使っているなら、そちらを変えること。どちらも、漏れた情報が使われる二次被害を防ぐための話である。

ネットの評判

まとめサイトが拾ったXの投稿には、GMOという名前への皮肉があった。「GMOって、サイバーセキュリティ会社持ってるのに・・・。」と書いた人がいる。「日本最高峰のセキュリティエンジニアが集まるGMOでも、不正アクセスって、もうどの会社も防がれへんやろ」という、諦めに寄った投稿もあった（末尾の絵文字は省いた）。

会社の発表に付いたはてなブックマークのコメントは4件。「住所氏名から電話番号まで全件漏洩した上にポイントも盗まれてて草も生えない」という書き込みがあり、自社で気づけなかった点を疑問視する声もあった。

本誌が10月6日に伝えたとおり、古川デジタル相は会見で、パスワードの使い回しをやめる、多要素認証を使う、不審なメールやSNSに注意する、という三つを呼びかけた。これを伝えた報道のはてなブックマークには447件のコメントが付き、「サービス側からの流出は防げない」という反論が並んだ。今回も、入られたのは会社側のソフトだった。

自分の情報は入っているのか

94万8498件は会社が持っていた全件なので、infoQの会員なら、自分の分も入っていると考えたほうがいい。対象の会員には、10月5日から順にメールが届く。身に覚えのない交換に気づいたら、infoQサポートセンターへ連絡する。

infoQは止まったままだ。再発防止策をとり、安全を確かめてから再開するという。いつになるかは示されていない。

外に出たのは、94万8498件の会員情報。換えられたのは、286万9500円分のポイント。会社が補填すると書いたのは、286万9500円のほうだけである。

この話、あなたはどっち？ →