アンケートサイトinfoQの不正アクセス（最大94万8,498件）：漏れた情報と、会員がやること

同社は、パスワードは暗号化されているとしたうえで、念のため、同じパスワードを他のサービスで使っている場合はそのサービスのパスワードを変えるよう勧めています。暗号化の方式は公表されていません。

メールアドレスとパスワードの組み合わせが分かると、他のサイトで同じ組み合わせを試すログインが行われることがあります。メール、ネット通販、ポイントサービスから優先して変え、サービスごとに別のパスワードにします。棚卸しは パスワードマネージャー に任せるのが現実的です。

infoQに登録したメールアドレスは、多くのサービスでパスワード再設定の連絡先になっています。メールアカウントを乗っ取られると、他のサービスのパスワードも再設定されてしまいます。

GmailやOutlookなどの主なメールサービスには2段階認証の機能があります。設定の手順と方式の選び方は 多要素認証の始め方 にまとめています。

同社は、同社やinfoQを装った不審なメール、SMS、電話に注意するよう呼びかけています。同社自身も、対象の会員に10月5日から順次メールで個別に連絡するとしているため、本物と偽物が同じ時期に届きます。

「ポイント補填の手続き」「お詫びのギフトコード」「本人確認」といった名目の連絡が来ても、本文のリンクは開かず、同社の公式サイトのお知らせで内容を確かめてください（見分け方は フィッシングとは）。

同社は不正に交換されたポイントを全額補填するとしていますが、10月6日時点の発表には補填の具体的な手続きは書かれていません。

相手が氏名・住所・生年月日を正しく言えても、本物である証拠にはなりません。今回まさにその情報が漏れたからです。補填や返金を理由に銀行口座、カード番号、パスワードを求められたら、応じる前に公式サイトで手続きを確認してください。

infoQは10月3日からサービスを停止しており、10月6日時点では利用履歴を確認できない可能性があります。身に覚えのないポイント交換に気づいた場合は、同社が案内しているinfoQサポートセンター（infoq-support@gmo-research.ai、メールは24時間受付、対応は平日10時〜18時）に連絡します。

連絡先は、届いたメールに書かれたものではなく、同社の公式サイトに載っているものを使ってください。サービスが再開したら、ポイント残高と交換履歴を自分でログインして確認します。

最初の1つとしては、ギフトコードや他社ポイントへの交換について、1時間あたりの件数と金額を記録し、普段の数倍を超えたら担当者に通知する設定から始めます。

1つのアカウント、1つの接続元からの交換回数にも上限を設けます。上限と通知の考え方は レート制限と濫用対策 にまとめています。

サイト全体を止める前に、交換機能だけを停止できる設定があると、被害の拡大を早く止められます。誰が判断し、どの手順で切り替えるかを事前に決め、年に1回は実際に切り替えて確認します。

同社は原因を、サイトで使用していたソフトウェアの脆弱性の悪用としています。どのソフトウェアかは公表されていないため、ここでは一般的な点に限ります。

自社のサイトで動いている製品・ライブラリと版を一覧にし、脆弱性情報が出たときに「どれを、いつまでに更新するか」を決めておきます。優先順位の付け方は 脆弱性対応の手順 で整理しています。