消しクソさんは２ちゃんねらーなんですね

　　　　　　　　　,r"´⌒｀ﾞ`ヽ
　　　　　　　／　,　　　-‐- !､
　　　 　　／　 {,}f　　-‐- ,,,__､) 　　　　ウホっ
　　　　／　　 /　　.r'~"''‐--､) 　　　　 ウチは何も悪くない
　　,r''"´⌒ヽ{　　 ヽ　▼ﾊ ▼}､　　　　 ウチは正しい
　/　　　　　　＼　　（⊂｀-'つ）i-､ ウチが全てにおいて絶対だ
　　　　　　　　　 `}. （__,,ノヽ_ﾉ,ﾉ　 ＼ ウチが間違ってるなんてあり得ない
　　　　　　　　　　 l　　 ｀-" ,ﾉ　　　 ヽ ウホホっ
　　　　　　　　　　 }　､､___,j''　　　　　 l

念のためのリンクですが、「ポイントは回復の方向」の様ですね。
http://info.gpoint.co.jp/blog/2012/04/post-1f4b.html

ただ、現時点「弊社から流出した事実は確認されませんでした」となっていて、それが事実だとしますと、ユーザの側（端末）から「トロイの木馬」とかで漏れたということになると思いますが、果たして？

個人的には、再犯抑止の意味で「摘発」を重視してもらいたいと思います。

少々補足いたしますと、むしろ私を含め今回被害に遭わなかった方で、ご自身の端末から情報が盗まれていたとすると、パスワードを変更したところで、潜在的にまだ危険は残されているということです。

私は最小限５００円分で済みましたが、実際に被害にあいました。不正使用されたID以外の人はログインできているのでしょうか？

今日新聞に出てましたね。

> おっかーさんさん。私はログインできます。

正確な原因がわからないうちにパスワードを不用意に変更すると、それに関連したものまで漏れる可能性が出てきますから、慎重にいかないといけないと思います。

念のため、以下リンクの18日8:26生成と思われるpdfファイルの文面からすると、
http://info.gpoint.co.jp/blog/2012/04/418-1650-6f6d.html

「不正ログインが認められなかった」と判断されている方にはログイン規制がかかっていない様です。

なお、

※内部の関係者及び外部の第三者が弊社のデータベースにアクセスを行い、ID・パスワードを抜き取った証跡は確認されておりません
※ 不正アクセスが行われた期間において、G ポイントの登録ＩＤには存在しない文字列での大量のアクセスが確認されております

とあり、何らかの基本データを入手するとかを加えてランダムにアタックしたか、わかり切っていて後者がダミーのアタックかで、この状況詳細が最重要のキーになる様に思います。
（SCEの時の様に「サーバから漏れた」としてくれればまだ対策は容易ですが、現時点そうでは無いことより根が深いと思います）

まさかと思いますが参考まで、もし万が一にでも該当する場合に最もヤバイ、シンプルなケースだけ記しておきます。

当該サイトのIDは、パターンが複雑化するメアドでは無い「6文字以上20文字以内の半角英数字」となっており、ご丁寧にID自体の大文字小文字が無いことで半分になり、逆にまずはそれがクラッカのアタックするIDの限定条件になります。
そして、パスワードが「パスワードを6文字以上36文字以内」となっています。

そこで今回の様なランダムアクセスで試される一番は、IDとパスワードが同じか大文字小文字の差か繰り返しの差で、6文字の組み合わせからどんどん試し、これで通ったIDを食い尽くすという手です。
（現時点でID＝パスワードは通らないものの（繰り返しは通る！）、初期は通ってそのままになっていたとか？＝とある大手銀行でさえ旧パス放置ですから）
パスワードの大文字小文字までやる必要が無かった？かもしれませんが、「忘れるので同じかそれ相当にしている」という方が意外とおられることで、注意が必要な場合があります。
あとはその後のサイト操作の敷居の高さ次第というシナリオです。

なお、登録後のサーバ側のデータから指摘できるとすれば、逆にそのことがセキュリティの無さを示してしまうため、ほぼ登録時にしかチェックがかけられないという裏事情？があり、当然ログからもわからないのが普通です。
（過去にこの類を指摘して墓穴を掘った金融機関があります）

当然@マークより前がパスワードと同じとかいったメールアドレスのIDとパスワードのセットもヤバイです。

当たっていなければゴメンナサイです。。。

連投遅レスですが、気になトピですのでちょっと考察失礼いたします。

交換フローを覚えていませんので外しているかもですが、犯人は、自分のところに設定した後にご丁寧に元の振込先に戻したのでしょうかね？
被害者はログインできない様ですので、事務局しかわからないでしょうが、元に戻していないとするなら、かなりネット上の犯人を絞る材料になると思うのですが。。。
（戻したとしても、その前のデータがわかっていれば）

間接的にでもこの関連の捜査結果情報を開示して欲しいですね。
（再犯抑止の意味でも）