適用對象：曾在日本問卷網站 infoQ 註冊的人（包括過去的註冊者），以及經營點數制會員網站的任何人。本文根據 GMO Research & AI 股份有限公司的官方公告撰寫，不涉及攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
截至 2026 年 10 月 15 日尚不清楚
- 使用了哪款軟體，以及漏洞是什麼
- 調查結果與防止再發措施
- infoQ 何時恢復服務，以及密碼重設程序
- 補償點數的入帳日期（據稱為服務恢復時）
- 密碼的加密方式
公司在 10 月 14 日的第二次通報中，確認取出的筆數為 894,082 筆，並表示已於 10 月 7 日使所有會員的密碼失效。公司表示之後會公布調查結果與防止再發措施。10 月 15 日我們查看了公司的公告頁面，第二次通報之後尚未發布更新的內容。
會員今天該做什麼
更改與 infoQ 密碼共用的其他服務密碼
公司表示密碼已加密，但請在其他服務上使用相同或類似密碼的會員，在該服務更改密碼，並檢查是否有不認識的登入紀錄。自 10 月 6 日起，公司已陸續寄信給所有會員，請大家這樣做。加密方式尚未公開。
一旦電子郵件與密碼的組合外洩，就可能被拿去嘗試其他網站。請優先處理電子郵件、網路購物與點數服務，並且每個服務使用不同的密碼。若要盤點，密碼管理工具是務實的方法。
至於 infoQ 本身的密碼，公司已於 10 月 7 日使所有會員的密碼失效，並表示服務恢復時會再次說明程序。
為電子郵件帳號開啟兩步驟驗證
您在 infoQ 登錄的電子郵件地址，很可能也是許多其他服務的密碼重設信箱。若有人取得該信箱帳號，就可以重設其他服務的密碼。
Gmail、Outlook 等主要電子郵件服務都提供兩步驟驗證。設定步驟與如何選擇驗證方式，請見多因素驗證入門。
不要開啟聲稱來自 infoQ 或 GMO 的訊息中的連結
公司提醒，要留意假冒公司或 infoQ 的可疑電子郵件、簡訊與電話。公司自 10 月 5 日起也正在逐一寄信通知受影響的會員，因此真假訊息會同時寄達。
如果您收到關於「點數補償程序」、「道歉禮品碼」或「身分驗證」的訊息，請不要開啟連結；請改為查看公司官方網站上的公告（參見什麼是網路釣魚？）。
絕不因補償而提供帳號、卡號或密碼
公司表示將全額補償不當兌換的點數。根據 10 月 14 日的第二次通報，補償款將於服務恢復時入帳至受影響會員的帳戶，完成後會個別寄信通知會員。通報中並未提及需要會員提供帳號或類似資料的程序。
寄件者若知道您正確的姓名、地址與出生年月日，並不能證明其為真實來源。這些正是外洩的資料。若有人以補償或退款為名要求銀行帳號、卡號或密碼，請先在官方網站確認程序，再採取任何行動。
將您未進行的點數兌換回報客服中心
infoQ 自 10 月 3 日起暫停服務，截至 10 月 15 日尚未恢復，因此您可能無法查看自己的紀錄。若您發現有自己未進行的點數兌換，請聯絡公司公布的 infoQ 客服中心（infoq-support@gmo-research.ai；電子郵件 24 小時受理，平日 10:00–18:00 日本時間處理）。
請使用公司官方網站上的聯絡方式，而非您收到的訊息中所附的聯絡資料。服務恢復後，請自行登入，檢查您的點數餘額與兌換紀錄。
不要做的事
不要從電子郵件或簡訊中的連結開啟「infoQ 登入頁面」並輸入密碼。服務目前暫停，且所有 infoQ 密碼已於 10 月 7 日失效。任何現在要求您登入的訊息，都應先視為可疑。
若要查看您的電子郵件或密碼是否曾出現在過去的外洩事件中，請參考如何檢查密碼是否已外洩。請勿把密碼本身輸入到不熟悉的網站進行檢查。
事件經過（取自 GMO Research & AI 的公告）
GMO Research & AI 股份有限公司於 2026 年 10 月 5 日發布道歉與公告，並於 10 月 14 日發布第二次通報。以下內容均依照公司公告所述。
2026 年 10 月 2 日（五）起
第三方未經授權存取（於調查中後來得知）。10 月 3 日（六）上午
在調查一名會員的詢問後，公司確認了未經授權存取。10 月 3 日 11:24
停止點數兌換（Amazon 禮品碼與 GMO Points）。10 月 3 日 14:15
攻擊路徑已遭阻斷。10 月 3 日 15:00
切斷外部對 infoQ 的存取（服務暫停）。暫停的網站曾顯示「緊急維護」；公司表示，暫停是因本次事件所致。10 月 5 日（一）
向個人資訊保護委員會通報。發布道歉與公告；公司逐一寄信通知所有會員（依第二次通報）。10 月 6 日（二）
開始逐一寄信給所有會員，請他們更改在其他服務上使用相同密碼的部分。已諮詢警方。10 月 7 日（三）
使所有會員的密碼失效。10 月 14 日（三）
發布第二次通報，確認取出的筆數為 894,082 筆。
- 範圍
- 894,082 筆資料（10 月 14 日確認）。第一次通報的最多 948,498 筆，分為 894,082 筆遭取出的個人資料、9,068 筆遭取出但不含個人資料（超過兩個月前已離會且個人資料已刪除的會員），以及 45,348 筆未遭取出
- 項目
- 姓名、姓名讀音（furigana）、性別、出生年月日、電子郵件地址、住家地址、電話號碼、加密後的密碼、會員編號，以及其他登錄資料（暱稱、點數餘額，以及最後一次回答問卷日期等使用資訊）
- 不包括
- 公司未持有信用卡資料或 My Number
- 不當兌換
- 611 筆、價值 2,869,500 日圓的點數在未經會員同意的情況下被兌換為 Amazon 禮品碼。公司將全額補償，於服務恢復時入帳至受影響會員的帳戶，並於完成後逐一寄信通知每位會員
- 密碼
- 所有會員的密碼已於 10 月 7 日失效。服務恢復時將再次說明程序
- 原因
- 第三方利用了公司網站所使用軟體的一項漏洞而入侵。軟體名稱與漏洞尚未公布
- 調查
- 與資安公司合作持續調查。公司已於 10 月 6 日諮詢警方
- 範圍限制
- 企業客戶的資料不在範圍內，且未發現公司其他服務遭未經授權存取
- 聯絡方式
- infoQ 客服中心，infoq-support@gmo-research.ai（電子郵件 24 小時受理，平日 10:00–18:00 日本時間處理）
已知與未知的事項
截至 2026 年 10 月 15 日的狀況。待公布更多資訊後，本表將重新整理。
| 項目 | 公司公布的內容 | 狀態 |
|---|---|---|
| 取出的筆數 | 894,082 筆（截至 10 月 14 日；第一次通報稱最多 948,498 筆） | 已確認（公司） |
| 取出的項目 | 姓名、姓名讀音、性別、出生年月日、電子郵件地址、住家地址、電話號碼、加密後的密碼、會員編號，以及其他登錄資料 | 外洩已確認（公司） |
| 信用卡資料、My Number | 從未持有 | 不包括（公司） |
| 企業客戶的資料 | 不包括在本次事件中 | 不包括（公司） |
| infoQ 以外的公司服務 | 未發現未經授權存取 | 未發現（公司） |
| 不當點數兌換 | 611 筆、價值 2,869,500 日圓；全額補償，服務恢復時入帳至帳戶 | 已確認（公司） |
| infoQ 密碼 | 已於 10 月 7 日全數失效；服務恢復時將說明程序 | 已確認（公司） |
| 原因概述 | 利用公司網站所使用軟體的漏洞入侵 | 已確認（公司） |
| 軟體名稱、漏洞性質 | 未公布 | 調查中 |
| 密碼的加密方式 | 未公布 | 未說明 |
| 防止再發、服務恢復 | 將依調查結果實施；服務將在確認安全後恢復 | 調查中 |
外洩項目組合後可能的用途
除了聯絡資訊（電子郵件、電話、地址）之外，此次外洩還包括出生年月日與加密後的密碼。不同的組合需要不同的因應步驟。
電子郵件 + 密碼（加密）
↓→
同一組合可能被拿去嘗試其他服務
→ 更改重複使用的密碼；為電子郵件開啟兩步驟驗證
姓名 + 電子郵件 + 電話號碼
↓→
附有您正確姓名的假補償或道歉郵件與簡訊
→ 不要開啟連結；查看官方網站的公告
地址 + 出生年月日
↓→
可用來回答身分問題的假聯絡，包括郵寄方式
→ 知道您的出生年月日，並不能證明寄件者為真實來源
依公司說法未包括在內
- 信用卡資料（從未持有）
- My Number（從未持有）
- 企業客戶的資料
- 公司其他服務（未發現未經授權存取）
已遭取出
- 姓名、姓名讀音、性別、出生年月日
- 電子郵件、住家地址、電話號碼
- 密碼（已加密）
- 會員編號、暱稱、點數餘額等
如何理解：「已加密」不代表「不需更改」
公司表示密碼已加密，但尚未公布加密方式。要還原原始密碼有多困難，很大程度取決於密碼的儲存方式（差異請參閱什麼是密碼雜湊？）。
公司本身也建議，基於預防考量，應更改重複使用的密碼。若您不再重複使用密碼，無論加密方式為何，其他服務都能獲得保護。
給經營點數制會員網站者的建議
此事件的特別之處在於，除了資料遭取出之外，會員的點數還被兌換為外部禮品碼。可兌換的點數對使用者與攻擊者而言都接近於金錢。根據公告，公司於 10 月 3 日確認未經授權存取的當天，即 11:24 停止了點數兌換。本節僅討論任何類似架構的服務都能檢視的重點。
以每小時為單位記錄點數兌換的件數與金額，並在偏離平常水準時發出警示
第一步，請記錄每小時兌換成禮品碼或其他公司點數的件數與金額，並在超過平常數倍時通知負責人員。
同時限制單一帳號與單一來源可進行的兌換次數。設定限制與警示的方法，請參閱速率限制與濫用控制。
設置可只停止兌換功能的開關
能在關閉整個網站前，先只停止兌換功能，可以更快減少損害。請事先決定由誰做決定、如何切換，並且每年實際切換一次以確認其可正常運作。
列出網站所用的軟體並設定更新期限
公司將原因歸於利用了網站所使用軟體的一項漏洞。軟體名稱尚未公布，因此這一點屬於一般性建議。
請列出網站上運行的產品與函式庫及其版本，並事先決定在漏洞公布後，各項應於何時前完成更新。如何排定優先順序，請參閱CVE 修補手冊。
資料來源（公開紀錄）
本文的事實來自以下公開來源。對於未公開的方法或原因細節，本文不作推測。
- GMO Research & AI 股份有限公司，關於其問卷網站 infoQ 遭未經授權存取導致個人資料外洩的道歉與公告（2026 年 10 月 5 日，日文）— gmo-research.ai
- GMO Research & AI 股份有限公司，關於其問卷網站 infoQ 遭未經授權存取導致個人資料外洩的道歉與公告，第二次通報（2026 年 10 月 14 日，日文）— gmo-research.ai
- 日經新聞，報導 GMO 集團某公司遭未經授權存取，導致 95 萬人資料外洩，且點數遭濫用（2026 年 10 月 6 日，日文）— nikkei.com
更新紀錄
2026-10-15：反映 10 月 14 日的第二次通報。將取出的筆數更新為 894,082 筆（並附上第一次通報最多 948,498 筆的分類）。新增全數密碼失效（10 月 7 日）、諮詢警方（10 月 6 日）、補償方式，以及「已知與未知的事項」表格。
2026-10-06：首次版本，依據 GMO Research & AI 於 10 月 5 日發布的公告撰寫。公司表示之後會公布調查結果與防止再發措施；待發布後本文將予以更新。
延伸閱讀
- 密碼：如何檢查密碼是否已外洩 / 如何選擇密碼管理工具
- 兩步驟驗證：多因素驗證入門
- 後續詐騙：什麼是網路釣魚？
- 同期的其他日本事件：燒肉王 App 資料外洩 / 大和證券承包商遭未經授權存取
- 其他 2026 年事件：資料外洩與網路攻擊列表（日本及全球）