【モニタス「Qzoo」】アンケートサイトにSQLインジェクション攻撃、全会員約40万件の氏名・パスワード・口座情報などが漏えいした可能性

公表：2026年10月21日

会社：株式会社モニタス（アンケートサイト「Qzoo」を運営）

3行でわかるポイント

1. アンケートサイト「Qzoo」のサーバーが10月17日に第三者の不正アクセスを受け、SQLインジェクションによってデータベースが閲覧・更新されました。
2. 漏えいした可能性があるのは、Qzooが保有する全件の約40万件。氏名・生年月日・住所・電話番号・メールアドレス、会員IDとパスワード、口座番号などの金融関連情報、年収などのアンケート回答情報が含まれます。
3. サービスは10月17日から停止中です。再開するときに、全会員にパスワードの再設定を求めるとしています。

何が起きたか

モニタスによると、10月17日（土）8時30分に第三者による不正アクセスが始まり、12時22分にSQLインジェクションによってデータベースが閲覧・更新されました。18時44分に検知してアクセスを遮断し、19時02分にQzooを緊急メンテナンス状態（サービス停止）にしました。10月20日に個人情報保護委員会へ速報し、10月21日に公表しました。影響範囲と、漏えいした可能性のあるデータの特定を進めています。

漏れた可能性のある情報

影響／原因

原因は、第三者が同社システムの脆弱性を悪用して侵入したことで、外部の専門機関の協力も得て原因と影響範囲を調べています。Qzooは同社のほかのシステムから独立した専用のシステムで、Qzoo以外のシステムへの不正アクセスは確認されていないとしています。Qzooのサービス停止により、同社が請け負っている調査業務の一部に遅れが出る可能性があり、影響のある取引先には個別に連絡するとしています。

利用者が今すべきこと

1. Qzooやモニタスを名乗るメール・SMSに注意してください。同社がパスワードなどの入力を求める連絡をすることはありません。不審なメールのURLや添付ファイルは開かないでください。
2. Qzooと同じメールアドレスとパスワードの組み合わせをほかのサービスで使っている場合は、すぐにそのサービスのパスワードを変更してください。
3. 自宅あての不審な郵便物や連絡にも注意してください。
4. 問い合わせ：Qzooお客さまお問い合わせ窓口（qzoo_support@monitas.co.jp）。対象者には順次個別に案内するとしています。

私たちが学べること

SQLインジェクションは古くから知られた攻撃ですが、入力された値をそのままデータベースへの命令に使う作りが残っていると、全会員の情報が一度に取られてしまいます。謝礼の振込などのために口座情報を預かるサービスでは、保存する情報を必要最小限にし、ほかの情報と分けて守ることが大切です。

経過

出典

1. 当社が運営するアンケートサイト「Qzoo」への不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ（モニタス、2026年10月21日）
2. モニタス「Qzoo」にSQLインジェクション攻撃 会員情報約40万件を調査（セキュリティ対策Lab）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。