Для кого: для людей, зарегистрированных в infoQ, японском опросном сервисе (включая бывших участников), и для всех, кто управляет членским сайтом с баллами. Статья основана на официальном уведомлении GMO Research & AI, Inc. и не описывает методы атак.
Ситуация развивается: статья будет обновляться по мере публикации новой информации организацией
По состоянию на 15 октября 2026 годаПока неизвестно
- Какое программное обеспечение использовалось и в чем заключалась уязвимость
- Результаты расследования и меры по предотвращению повторения
- Когда возобновится работа infoQ и порядок сброса паролей
- Дата зачисления компенсационных баллов (по словам компании, при возобновлении работы сервиса)
- Как именно были зашифрованы пароли
Во втором сообщении от 14 октября компания подтвердила количество вынесенных записей: 894 082, и сообщила, что 7 октября аннулировала пароли всех участников. Она обещает позже объявить результаты расследования и меры по предотвращению повторения. 15 октября мы проверили страницу уведомлений компании: новее второго сообщения ничего опубликовано не было.
Что участникам делать сегодня
Смените пароль на любом сервисе, где используете пароль от infoQ
Компания говорит, что пароли были зашифрованы, но просит участников, которые используют такой же или похожий пароль на других сервисах, сменить его там и проверить входы, которых они не узнают. С 6 октября компания по очереди отправляет всем участникам email с этой просьбой. Метод шифрования не раскрыт.
Если пара «email и пароль» стала известна, ее могут попробовать на других сайтах. Начните с почты, интернет-магазинов и сервисов с баллами и используйте отдельный пароль для каждого сервиса. Реалистичный способ составить список — менеджер паролей.
Что касается самого пароля infoQ, компания аннулировала пароли всех участников 7 октября. Она обещает снова объяснить порядок действий при возобновлении работы сервиса.
Включите двухэтапную проверку для своей почты
Адрес email, который вы указали в infoQ, вероятно, является адресом для сброса пароля на многих других сервисах. Если кто-то получит доступ к этой почте, он сможет сбросить пароли и в других местах.
Крупные почтовые сервисы, такие как Gmail и Outlook, предлагают двухэтапную проверку. Шаги настройки и выбор способа описаны в статье Начало работы с многофакторной аутентификацией.
Не открывайте ссылки в сообщениях, которые выдают себя за infoQ или GMO
Компания предупреждает о подозрительных письмах, SMS и звонках от имени компании или infoQ. Сама компания с 5 октября отправляет письма затронутым участникам по отдельности, поэтому настоящие и поддельные сообщения будут приходить одновременно.
Если вы получили сообщение о «процедурах получения компенсации за баллы», «подарочных кодах в знак извинения» или «проверке личности», не открывайте ссылку; вместо этого проверьте уведомления на официальном сайте компании (см. Что такое фишинг?).
Никогда не сообщайте номера счетов, карт или пароли ради компенсации
Компания говорит, что полностью компенсирует мошеннически обмененные баллы. Согласно ее второму сообщению от 14 октября, компенсация будет зачислена на счета затронутых участников при возобновлении работы сервиса, а после этого участникам отправят email по отдельности. В уведомлении не упоминается никакой процедуры, в которой участники должны передавать номера счетов или похожие данные.
То, что отправитель знает ваше верное имя, адрес и дату рождения, не доказывает его подлинность. Именно эти данные и утекли. Если кто-то просит номер банковского счета, номер карты или пароль под предлогом компенсации или возврата средств, сначала проверьте порядок действий на официальном сайте.
Сообщите в службу поддержки о каждом обмене баллов, который вы не совершали
Работа infoQ приостановлена с 3 октября и по состоянию на 15 октября не возобновилась, поэтому проверить историю может не получиться. Если вы заметили обмен баллов, который не совершали, обратитесь в Центр поддержки infoQ, указанный компанией (infoq-support@gmo-research.ai; письма принимаются круглосуточно, обрабатываются по будням с 10:00 до 18:00 по японскому времени).
Используйте контактный адрес с официального сайта компании, а не тот, что указан в полученном вами сообщении. Когда сервис возобновит работу, войдите в него сами и проверьте баланс баллов и историю обменов.
Чего не делать
Не открывайте «страницу входа в infoQ» по ссылке из письма или SMS и не вводите там пароль. Сервис приостановлен, а все пароли infoQ были аннулированы 7 октября. Любое сообщение с просьбой войти сейчас следует в первую очередь считать подозрительным.
Чтобы проверить, не появлялись ли ваш email или пароль в прошлых утечках, воспользуйтесь статьей Как проверить, не утекал ли ваш пароль. Не вводите сам пароль на незнакомых сайтах для проверки.
Что произошло (по уведомлению GMO Research & AI)
GMO Research & AI, Inc. опубликовала извинения и уведомление 5 октября 2026 года, а второе сообщение — 14 октября. Все сведения ниже приведены так, как они изложены в уведомлениях компании.
С 2 октября 2026 г. (пт)
Несанкционированный доступ третьего лица (выявлен позже, в ходе расследования).3 октября (сб), утро
После проверки обращения участника компания подтвердила несанкционированный доступ.3 октября, 11:24
Обмен баллов остановлен (коды Amazon и GMO Points).3 октября, 14:15
Путь атаки заблокирован.3 октября, 15:00
Внешний доступ к infoQ отключен (сервис приостановлен). На приостановленном сайте было указано «экстренное техобслуживание»; компания говорит, что приостановка связана с этим инцидентом.5 октября (пн)
Информация передана в Комиссию по защите персональных данных. Опубликованы извинения и уведомление; компания по очереди отправила email всем участникам (по второму сообщению).6 октября (вт)
Начала по очереди отправлять всем участникам email с просьбой сменить пароль на других сервисах, где он такой же. Компания проконсультировалась с полицией.7 октября (ср)
Аннулированы пароли всех участников.14 октября (ср)
Опубликовано второе сообщение, в котором количество вынесенных записей подтверждено как 894 082.
- Объем
- 894 082 записи (подтверждено по состоянию на 14 октября). Максимум в 948 498 записей из первого сообщения делится так: 894 082 записи с персональными данными вынесены, 9 068 записей вынесены без персональных данных (участники, которые вышли более двух месяцев назад, и чьи персональные данные уже удалены), 45 348 записей не вынесены
- Данные
- Имя, написание имени в виде фуриганы, пол, дата рождения, адрес email, домашний адрес, номер телефона, пароль (зашифрованный), идентификатор участника, прочие данные регистрации (псевдоним, баланс баллов, сведения об использовании, например дата последнего ответа на опрос)
- Не включено
- Компания не хранит данные банковских карт и «Мой номер»
- Мошеннические обмены
- 611 случаев на сумму 2 869 500 иен обменяно на коды Amazon без согласия участников. Компания полностью компенсирует их, зачислив на счета затронутых участников при возобновлении работы сервиса, и отправит письмо каждому участнику после этого
- Пароли
- Пароли всех участников аннулированы 7 октября. Порядок действий будет объяснен снова при возобновлении работы сервиса
- Причина
- Третье лицо использовало уязвимость в программном обеспечении, применяемом на сайте компании, чтобы получить доступ. Программное обеспечение и уязвимость не названы
- Расследование
- Продолжается при участии специализированной компании по безопасности. Компания консультировалась с полицией 6 октября
- Ограничения охвата
- Данные деловых клиентов не затронуты, несанкционированный доступ к другим сервисам компании не обнаружен
- Контакты
- Центр поддержки infoQ, infoq-support@gmo-research.ai (письма принимаются круглосуточно, обрабатываются по будням с 10:00 до 18:00 по японскому времени)
Что известно и что нет
Состояние на 15 октября 2026 года. Эта таблица будет переписана по мере публикации новых сведений.
| Пункт | Что объявлено | Статус |
|---|---|---|
| Количество вынесенных записей | 894 082 (по состоянию на 14 октября; в первом сообщении — до 948 498) | Подтверждено (компания) |
| Вынесенные данные | Имя, фуригана, пол, дата рождения, адрес email, домашний адрес, номер телефона, пароль (зашифрованный), идентификатор участника, прочие данные регистрации | Утечка подтверждена (компания) |
| Данные банковских карт, «Мой номер» | Никогда не хранились | Не включены (компания) |
| Данные деловых клиентов | Не включены в этот инцидент | Не включены (компания) |
| Сервисы компании, кроме infoQ | Несанкционированный доступ не обнаружен | Не обнаружено (компания) |
| Мошеннические обмены баллов | 611 случаев на сумму 2 869 500 иен; полная компенсация, зачисление на счета при возобновлении работы сервиса | Подтверждено (компания) |
| Пароли infoQ | Все аннулированы 7 октября; порядок действий будет объяснен при возобновлении работы сервиса | Подтверждено (компания) |
| Общая причина | Вторжение с использованием уязвимости в программном обеспечении, применяемом на сайте компании | Подтверждено (компания) |
| Название программного обеспечения, характер уязвимости | Не раскрыто | Расследуется |
| Как были зашифрованы пароли | Не раскрыто | Не указано |
| Предотвращение повторения, возобновление работы сервиса | Будут внедрены по итогам расследования; сервис возобновит работу после подтверждения безопасности | Расследуется |
Что можно сделать с утекшими данными в сочетании
Помимо контактных данных (email, телефон, адрес), в утечке есть даты рождения и зашифрованные пароли. Каждое сочетание требует своего шага.
Email + пароль (зашифрованный)
↓→
Эту же пару могут попробовать на других сервисах
→ Смените повторно используемые пароли; двухэтапная проверка для почты
Имя + email + номер телефона
↓→
Поддельные письма и SMS о компенсации или извинениях с вашим верным именем
→ Не открывайте ссылки; проверяйте уведомления на официальном сайте
Адрес + дата рождения
↓→
Поддельные обращения, в том числе обычной почтой, способные ответить на вопросы для идентификации
→ Знание даты рождения не делает отправителя настоящим
Не включено, по словам компании
- Данные банковских карт (никогда не хранились)
- «Мой номер» (никогда не хранился)
- Данные деловых клиентов
- Другие сервисы компании (несанкционированный доступ не обнаружен)
Вынесено
- Имя, фуригана, пол, дата рождения
- Email, домашний адрес, номер телефона
- Пароль (зашифрованный)
- Идентификатор участника, псевдоним, баланс баллов и др.
Как понимать: «зашифрован» не означает «менять не нужно»
Компания говорит, что пароли были зашифрованы, но метод не раскрыла. Насколько трудно восстановить исходный пароль, во многом зависит от того, как он хранился (разница объясняется в статье Что такое хеширование паролей?).
Сама компания на всякий случай рекомендует сменить повторно используемые пароли. Если вы перестанете использовать один пароль в нескольких местах, другие сервисы будут защищены независимо от метода.
Для тех, кто управляет членскими сайтами с баллами
Особенность этого инцидента в том, что наряду с вывозом данных баллы участников обменивались на внешние подарочные коды. Баллы, которые можно обменять, близки к деньгам — и для пользователей, и для злоумышленников. Согласно уведомлению, компания остановила обмен баллов в 11:24 3 октября, в день, когда подтвердила несанкционированный доступ. В этом разделе речь только о мерах, которые может проверить любой сервис с похожей схемой.
Фиксируйте обмены баллов по часам, по количеству и сумме, и сигнализируйте об отклонении от нормы
Для начала записывайте почасовое количество и стоимость обменов на подарочные коды или баллы других компаний и уведомляйте ответственного, когда показатели в несколько раз превышают обычный уровень.
Также ограничьте, сколько обменов может совершить один аккаунт и один источник. Настройка лимитов и оповещений описана в статье Ограничение частоты запросов и контроль злоупотреблений.
Имейте переключатель, который останавливает только функцию обмена
Возможность остановить только функцию обмена до отключения всего сайта быстрее ограничивает ущерб. Заранее решите, кто принимает такое решение и как его применить, и раз в год реально включайте его, чтобы убедиться, что он работает.
Составьте список программного обеспечения сайта и установите сроки обновлений
Компания связывает причину с использованием уязвимости в программном обеспечении, применяемом на ее сайте. Программное обеспечение не названо, поэтому этот пункт носит общий характер.
Составьте перечень продуктов и библиотек, работающих на сайте, с их версиями, и заранее определите, какие из них и к какому сроку обновлять после объявления уязвимости. Порядок определения приоритетов описан в статье Руководство по устранению CVE.
Источники (открытые публикации)
Факты в этой статье взяты из следующих открытых источников. Нераскрытые методы и подробности о причине не домысливаются.
- GMO Research & AI, Inc., извинения и уведомление об утечке персональных данных из-за несанкционированного доступа к опросному сервису infoQ (5 октября 2026 года, на японском языке) — gmo-research.ai
- GMO Research & AI, Inc., извинения и уведомление об утечке персональных данных из-за несанкционированного доступа к опросному сервису infoQ, второе сообщение (14 октября 2026 года, на японском языке) — gmo-research.ai
- Nikkei, сообщение о том, что несанкционированный доступ в компании группы GMO привел к утечке данных 950 000 человек, а баллы были использованы неправомерно (6 октября 2026 года, на японском языке) — nikkei.com
История обновлений
2026-10-15: Учтено второе сообщение от 14 октября. Количество вынесенных записей обновлено до 894 082 (с разбивкой максимума первого сообщения, 948 498). Добавлены аннулирование всех паролей (7 октября), консультация с полицией (6 октября), порядок выплаты компенсации и таблица «Что известно и что нет».
2026-10-06: Первая версия на основе уведомления GMO Research & AI от 5 октября. Компания обещает позже объявить результаты расследования и меры по предотвращению повторения; статья будет обновлена после их публикации.
Читайте далее
- Пароли: Как проверить, не утекал ли ваш пароль / Выбор менеджера паролей
- Двухэтапная проверка: Начало работы с многофакторной аутентификацией
- Мошенничество после утечки: Что такое фишинг?
- Другие японские инциденты того же периода: Утечка из приложения Yakiniku King / Несанкционированный доступ к подрядчику Daiwa Securities
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)