GMOトラスト・ログイン、ロゴ置き場に顧客のファイル。約9年、誰でも取れる状態で2,492社・45,030人

• ID管理・シングルサインオンのサービス「GMOトラスト・ログイン」で、ロゴ画像を配信するための公開ストレージに、顧客の情報を含むファイルが置かれていた。2017年11月ごろから2026年9月15日まで、外部から取得できる状態だった
• 10月30日の第三報で、対象は2,492社・45,030人に広がった（第一報の暫定値は2,007社・37,747人）。メールアドレス、氏名、連携しているアプリの名前、社員番号や所属などが含まれる。ログインのパスワード、多要素認証の情報、決済情報は含まれない
• 利用企業の担当者は、「ライセンスの超過」「契約の更新」を口実にしたIDやパスワードの入力、送金を求める連絡に気をつけたい。どの会社にとっても、「公開用の置き場に、公開しないものを置かない」という教訓がある

なお、これは今月続報が続いている「お名前.com デスクトップクラウド」への不正アクセスとは別の事案だ。GMOトラスト・ログインを提供するGMOグローバルサインの親会社は、お名前.comの件について、自社のサービスへの影響は確認されていないと発表している。

何が起きていたのか

第三報によると、GMOトラスト・ログインは、サービスのロゴ画像などを配信するために、ストレージの一部を外部から閲覧できる公開領域として使っていた。その公開領域に、次のファイルも保存されていた。

• 管理者が管理画面で一括操作をしたときにシステムが作るファイル（カスタム属性の一括登録、パスワードの一括代理設定のひな形とエラーファイル、メンバーの一括追加のエラーファイル）
• 同社の契約情報のファイル

公開領域はファイルの一覧を外から見られ、個々のファイルのリンクには署名も有効期限もなかった。一覧を見れば、どのファイルでも取得できたことになる。

きっかけは2017年11月14日ごろ。ロゴ画像の配信の負荷への対策として、ストレージをロゴ配信用の公開領域に変えたときから、取得できる状態になったと同社は判断している。9月14日の夕方、外部のセキュリティ研究者が脆弱性報告の制度を通じて知らせたことで発覚した。

対象と情報

一括操作のファイルには、メールアドレス、氏名、対象アプリ名（連携しているサービスの名前）、カスタム属性（社員番号、所属など）が含まれていた。契約情報のファイルには、企業ID、ライセンス数、利用状況、解約日と、請求書の送付先の担当者の氏名、住所、電話番号、メールアドレスが含まれていた。

外部の専門機関がアクセスの記録を調べた結果、これらのファイルが第三者に取得されていたことを確認した。記録で取得を確かめられたのは2021年6月8日から9月15日まで。それより前は記録が残っておらず、取得されたかどうか分からないため、取得されたおそれのある期間として扱うという。

第一報からの訂正

第三報は、第一報の内容を三つ訂正している。

• 遮断した時期：「9月14日中に遮断」ではなく、9月14日23時45分ごろから15日16時にかけて段階的に遮断した
• 期間：「2017年11月以降、取得されていたことを確認」ではなく、2017年11月以降は取得できる状態にあり、取得を確認できたのは2021年6月8日以降
• 件数：調べるファイルの不足と判定条件の誤りが見つかり、追加の調査で増えた

訂正の理由まで書いているのは、読む側には助かる。

利用企業の担当者がやること

1. 同社からの個別の連絡を確かめ、自社が対象かどうかを把握する。対象なら、個人情報保護委員会への報告が要るかを確認する（同社は報告の案内を送っている）
2. 社員に、GMOトラスト・ログインや連携しているサービスを名乗る連絡に注意するよう伝える。漏れたのは「誰が、どのサービスを使っているか」なので、実在のサービス名を使った、もっともらしい偽のログイン画面への誘導が作りやすい
3. 「契約の更新」「ライセンスの超過」「アカウントの確認」を理由に、IDやパスワードの入力、送金を求める連絡には応じない。同社は、メールや電話でパスワードなどを聞くことはないとしている
4. シングルサインオンの入口が狙われると被害が広がる。多要素認証がすべての利用者で有効になっているかを、この機会に見直す

「ロゴ置き場」は、どの会社にもある

ここからは筆者の見方だ。今回の原因は、高度な攻撃ではなく置き場所の設計だった。画像を配信するための公開ストレージに、たまたま一時ファイルも書き出される作りになっていた。しかも同社によると、定期的な診断や侵入テストはアプリケーションとサーバーが対象で、ストレージは対象外だった。だから9年近く気づかなかった。

クラウドのストレージを使っている会社なら、次のことは今日にでも確かめられる。

• 公開している置き場（バケット）は、ファイルの一覧を外から見られる設定になっていないか
• 公開用の置き場に、CSVのエクスポートやエラーファイル、バックアップが書き出されていないか
• 利用者にファイルを渡すリンクは、署名と短い有効期限つきになっているか（同社は事故の後、有効期限1時間のリンクに切り替えた）
• 脆弱性診断の範囲に、ストレージやCDNが入っているか
• 一時ファイルに保存期間を決め、期限が過ぎたら自動で消しているか

今日書いた日本交通の件と同じく、残っていなければ取られないファイルが、被害を大きくした。

もう一つ、発覚のきっかけが外部の研究者からの報告だったことも大事だ。報告を受け付ける窓口があったから、9年目でも止められた。窓口がなければ、気づいた人が黙っていたか、悪用する側だけが知っていたかもしれない。

今後の予定

同社は、11月12日に個人情報保護委員会へ確報を出す予定だ。再発防止策は原則11月30日までに実施し、すべて終わるまで毎月、完了した対策の数と内容を報告する。毎年12月には、外部の診断の結果などをまとめた年次の報告も出すとしている。

まとめ

• GMOトラスト・ログインで、ロゴ配信用の公開ストレージに顧客の情報を含むファイルが置かれ、約9年外部から取得できた
• 対象は2,492社・45,030人。第三者による取得を確認。パスワード、多要素認証、決済の情報は含まれない
• お名前.com デスクトップクラウドの件とは別の事案
• 利用企業は、サービス名を名乗る偽の連絡に注意し、多要素認証を見直す。どの会社も、公開用の置き場に公開しないものを置かない、診断の範囲にストレージを入れる

出典

• GMOグローバルサイン「【重要】GMOトラスト・ログインにおけるお客様情報の漏えいに関するお詫びとお知らせ（第三報）」（2026年10月30日）
• 同 第一報（2026年9月16日）、続報（第二報）（2026年10月7日）
• GMOグローバルサイン・ホールディングス「GMOインターネット株式会社が提供する『お名前.com デスクトップクラウド』への不正アクセスにつきまして」

本記事は2026年10月31日時点の情報に基づく。「『ロゴ置き場』は、どの会社にもある」は筆者の見方である。