GMOトラスト・ログインで4.5万人分漏えい ロゴ用の公開領域に顧客ファイル

何が起きたか

GMOトラスト・ログインは、1つのIDとパスワードで社内のいろいろなクラウドサービスに入れるようにする仕組み（シングルサインオン）だ。運営する GMOグローバルサインが、2026年10月30日に第三報を出した。

第三報によると、ロゴ画像を外へ配るための公開の保存場所（ストレージ）が、顧客情報を含む一時ファイルの置き場も兼ねていた。会社は、これを設計の問題として挙げている。置かれたファイルのリンクには、署名（決まった相手だけが使えるようにする印）も使える期限もなかった。保存場所の中身の一覧も、外から取れた。その結果、第三者がファイルを見たり取ったりできた、と会社は説明している。この保存場所を公開にしたのは2017年11月14日ごろで、会社はロゴ配信の負荷への対策だったとしている。

外から取れる状態だったのは、2017年11月14日ごろから2026年9月15日まで。2026年9月14日に、外部のセキュリティ研究者が脆弱性の報告制度を通じて知らせ、発覚した。会社は9月14日23時45分ごろから9月15日16時にかけて、段階的に取得を止めた。

会社の発表では、2,492社の内訳は次のとおりだ。いちばん多いのは、管理者がメンバーの一括追加やパスワードの一括設定をしたときに自動でできたファイルで、2,184社・44,836人分にあたる。中身は、メールアドレス、氏名、連携するサービスの名前と、利用企業が独自に決めた項目（社員番号や所属など）だ。このほか、GMOグローバルサインが持つ契約の記録から、請求書の送り先担当者の氏名・住所・電話番号・メールアドレスが取られた企業が217社ある（人数は、一括操作のファイルと重ならない分で194人）。契約の記録には、企業ID、ライセンス数、利用状況、解約日も入っていた。残る91社は、管理者アカウントの削除などで、どの企業か特定できなかった分だ。

含まれていないと会社が説明しているのは、ログインのパスワード、秘密の質問、多要素認証の情報、連携先のパスワード、クレジットカードの情報だ。

外部の専門機関の調査を受け、会社は「これらのファイルが第三者に取得されていたことを確認しました」と書いている。会社が記録で取得を確かめた期間は、2021年6月8日から2026年9月15日までだ。公開が始まった2017年11月からそれまでの約3年半はログが残っていない。会社は、この期間についても被害がなかったとは言えないものとして扱っている。

数は、9月16日の第一報の2,007社・37,747人から増えた。増えた分には、第一報では数えていなかった2種類が加わっている。請求書の送り先担当者の情報が取られた企業と、どの企業に属するか分からない管理者アカウントだ。あわせて会社は、最初の調査で調べたファイルが足りず、判定の条件にも誤りがあったと明かし、調べ直している。10月30日の時点で、二次被害の報告はないという。