GFS Educationは2026年11月13日、金融スクールの「GFS会員サイト」で不正アクセスがあり、データベースの情報と画像ファイルが外部に持ち出されたと発表しました。漏えいした、またはそのおそれがある個人情報は約11万人分で、このうち個人番号が載ったマイナンバーカード裏面の画像は84人分です。利用者ごとの影響は調査が続いています。
会員の方は、普段使うブックマークなどから会員サイトを開き、パスワードを変更してください。退会した方、申込みや問い合わせだけをした方も対象に含まれます。登録したメールアドレスに届く個別案内を確認し、本人確認書類や個人番号に関する記載がある場合は、該当する情報と相談先を確かめましょう。
最終確認：2026年11月14日 19時台（日本時間）
GFSの情報漏えい、自分は対象？
まず、過去の申込控えや問い合わせ履歴で、使ったサービス名と登録時のメールアドレスを確認します。同社は同じ日に「GFS会員サイト」と「GFS監修 投資の達人講座」について、それぞれ会員サイトの発表と投資の達人講座の発表を出しています。
| 利用したサービス | 公表された影響と確認先 |
|---|---|
| GFS会員サイト | 会員・退会者、申込みをした方、問い合わせをした方が対象。約11万人分の情報について漏えい確認またはそのおそれ。うち84人分はマイナンバーカード裏面画像。登録メールへの個別案内を確認。 |
| GFS監修 投資の達人講座 | 一部利用者の氏名（姓のみ、または姓名）とメールアドレスが第三者に読み出されたことを確認。公表文に人数の記載はありません。該当するか不明な場合は公式発表の窓口へ。 |
会員サイトについて、同社は対象者へ登録メールアドレス宛てに順次連絡し、人によって異なる対象項目を個別に案内するとしています。通知が見つからない場合は迷惑メールフォルダーや以前のアドレスも確認してください。退会後にアドレスを使わなくなった場合や、どの情報が該当するか分からない場合は、公式発表に掲載されているお客様サポートデスク（privacy@gfse.jp）に確認できます。
漏えいした可能性がある情報と今すぐできる対処
| 該当する情報・状況 | 取るべき対応 |
|---|---|
| 会員サイトのログイン情報 | GFSと、同じパスワードを使っている他サービスで変更。特に登録先のメールアカウントも使い回していた場合は早めに変更。 |
| 氏名・連絡先・履歴 | 申込みや購入内容を知っている相手から連絡が来ても、メール内のリンクや記載された番号を使わず、公式サイトから窓口を確認。 |
| 本人確認書類の画像 | 身に覚えのない契約や請求が来たら、発行元の公式窓口へ。日時、通知、取引名などを控える。 |
| マイナンバーカード裏面画像 | 個別の案内を保管し、番号の不正利用が心配なら、住民票のある市区町村のマイナンバー窓口に相談。 |
会員サイトの対象項目には、氏名、メールアドレス、生年月日、電話番号、住所に加え、視聴や購入の記録、問い合わせで伝えた内容、提出課題の画像、本人確認書類の画像が含まれます。ログイン情報については、保存時に保護処理を施したパスワードの値が対象です。保護方式の詳細は公表されていません。
GFS会員サイトのパスワードを変更する手順
- いつものブックマークなどからGFS会員サイトを開いてログインします。
- 画面右上のアイコンから「アカウント設定」を開きます。
- パスワード欄で「パスワード変更」を選び、他のサービスと重ならないパスワードに変更します。
- 以前のパスワードを他のサービスでも使っていた場合は、それぞれの公式サイトから変更します。
ログインできないときや退会済みのときも、他サービスで使い回しているパスワードは先に変更できます。「再登録が必要」などと促すメールが届いた場合は、書類の画像や認証コードを渡す前に、公式発表の窓口で案内の真偽を確かめてください。
マイナンバーカード裏面画像が対象なら、番号は変えるべき？
84人分の対象画像には、裏面に記載された12桁の個人番号が含まれます。デジタル庁によると、個人番号だけで医療情報を取得することはできません。本人確認書類の画像などを使ったなりすまし申込みには注意が必要です。
番号が漏えいし、不正利用のおそれがあると認められる場合は、住民票のある市区町村に個人番号の変更を申請できます。個別通知が届いた方は、通知日、どの資料が対象か、心当たりのない連絡があったかを控えて窓口に相談すると説明しやすくなります。番号やカード画像は、問い合わせメールの本文や添付に入れず、提出が必要になった場合は窓口が案内する方法を確認してください。
不正アクセスはなぜ起きた？ 画像受付とサーバー権限の問題
会員サイトでは、11月9日にサーバー負荷の異常を検知して不正アクセスが発覚しました。同社の調査では、画像アップロード機能の不具合が悪用され、外部から置かれた不正プログラムが実行されました。サーバーのアクセス権限設定にも不備があり、データベース内の情報と画像ファイルの持ち出しを確認しています。攻撃開始日時や使用されたプログラムの詳細は、11月13日の発表に記載されていません。
アップロードを受け付けるアプリと本人確認書類を保管する仕組みが同じ権限で動いていると、受付機能を侵害された際に保管済みの書類まで読まれるおそれがあります。ファイルを検査する入口に加え、ファイルを置く場所、そこでの実行権限、保存済みのデータを読めるアカウントを設計する必要があります。
同種サービスを運用するIT管理者が点検できること
- アップロードするファイル形式を許可リストで絞り、拡張子に加えて実際のファイル形式を検証する。受領したファイルは実行できない領域に保存する。
- 受付用のアプリと書類の閲覧・管理に使う権限を分け、受付側のアカウントで既存書類や無関係なデータを一括取得できないことを確認する。
- 本人確認の目的に必要な面と保管期間を決める。不要な画像は受領・保存せず、古いデータの削除が運用どおりに行われているか点検する。
- 事故調査では受付ログ、ファイルアクセス、データベース接続、外向き通信を照合できるようにする。時刻と利用アカウントが追える状態にしておく。
以上は一般的な運用上の確認項目です。アップロードの対策例はOWASPのファイルアップロード対策資料で確認できます。
GFS Educationが実施した対応と今後の通知
会員サイトでは攻撃元からの通信遮断、不正プログラムの隔離、サーバーの権限縮小、データベースのパスワード変更を行い、原因となったプログラムを修正したと発表しています。警察への被害届提出と個人情報保護委員会への報告も済ませたとしています。現時点の発表では影響範囲の調査が続いており、新しい事実が判明した場合は公式発表の更新や追加連絡が予定されています。
「投資の達人講座」については、11月1日未明から2日午前にかけて、視聴時間を更新するプログラムが攻撃を受け、同社は11月2日午前までに不具合を修正したとしています。住所や電話番号の漏えいは現時点で確認されていないと同講座の発表に記載されています。
よくある質問
クレジットカードの再発行は必要？
会員サイトのデータベースにはカード番号を一部伏せた形で保存しており、同社は全桁の漏えいを確認していません。カードを使った方は利用明細を確認し、心当たりのない請求があればカード発行会社の公式窓口に連絡してください。
退会済みでも個別通知を受け取ることはありますか？
退会者も会員サイトの公表対象に含まれます。過去に登録したアドレスを確認し、すでに使えない場合はサポートデスクに問い合わせてください。メールを受け取った場合は、対象項目の記載を確認し、パスワード変更などの手続きは普段の経路から行いましょう。
出典・更新履歴
- GFS Educationの公式発表（GFS会員サイト、2026年11月13日）
- GFS Educationの公式発表（GFS監修 投資の達人講座、2026年11月13日）
- デジタル庁のよくある質問（個人番号の変更）
- デジタル庁のよくある質問（個人番号と健康保険証利用）
- OWASP File Upload Cheat Sheet
関連する事例は大阪府「お米PAY」で本人確認書類が漏えいした事案で確認できます。
2026年11月14日 GFS Educationの2件の公式発表を確認し、初版公開。
