Signal
📡 Signal｜GMOトラスト・ログインの漏えい、2,492社・4万5,030人に拡大
公開設定の保存場所から約9年間、社員名簿が取得可能だった。第三報で対象は2,492社・4万5,030人に。
GMO グローバルサインが提供する認証サービス「GMO トラスト・ログイン」は 10 月 30 日、顧客情報の漏えいについて第三報を出し、対象を 2,492 社・4 万 5,030 人に広げた。9 月 16 日の第一報で示した暫定値は 2,007 社・3 万 7,747 人で、外部の専門機関による調査が終わって約 2 割増えた。
GMO トラスト・ログイン「お客様情報の漏えいに関するお詫びとお知らせ（第三報）」（2026 年 10 月 30 日・2,492 社・4 万 5,030 人・取得可能期間と取得確認期間の訂正・原因・対策・確報は 11 月 12 日予定）news_trustlogin
原因は、ロゴ画像を配信するために外へ公開していた保存場所だ。2017 年 11 月から 2026 年 9 月まで約 9 年間、顧客情報を含むファイルを誰でも取得できる状態にあった。漏れたのはパスワードではなく、どの会社の誰がどの業務アプリを使っているかという名簿で、これを手にした側が次に狙うのは利用企業の社員になる。
第三報で変わった数字と日付
第三報は、第一報の内容を 3 点で訂正している。
- 対象: 2,007 社・3 万 7,747 人 → 2,492 社・4 万 5,030 人。初回の調査で調べたファイルが足りず、判定の条件にも誤りがあったため追加で調べた。請求書の送付先担当者の情報が取られた企業と、管理者アカウントの削除などで所属を特定できない分を新たに加えた
- 期間: 第一報は「2017 年 11 月以降に取得されていたことを確認」としていたが、これは誤りだった。取得できる状態だったのは 2017 年 11 月 14 日頃から 2026 年 9 月 15 日までで、アクセス記録で取得を確かめられたのは 2021 年 6 月 8 日以降に限られる。それより前は記録が残っておらず、取られたかどうかも分からない
- 遮断: 「9 月 14 日中に遮断」ではなく、9 月 14 日 23 時 45 分頃から 15 日 16 時にかけて段階的に止めた
企業の内訳は、管理画面の一括操作で作られたファイルから個人情報が取られた会社が 2,184 社、請求書の送付先担当者の情報だけが取られた会社が 217 社、所属を特定できない分が 91 社。人数はメールアドレスの重複を除いて数えている。
9 年間、点検の外にあった保存場所
起点は 2017 年 11 月頃にある。ロゴ画像の配信の負荷を軽くするため、保存場所を外から見られる公開領域に切り替えた。そこに、管理画面で社員をまとめて登録したり、パスワードをまとめて代理設定したりするときのひな形ファイルやエラーファイル、さらに同社の契約情報ファイルまで置かれる設計になっていた。
保存場所はファイルの一覧を外から取得でき、個々のファイルへのリンクには署名も有効期限もなかった。同社は定期的に診断や侵入テストを受けていたが、対象はアプリケーションとサーバーで、保存場所は入っていなかった。
見つけたのは社内の点検ではない。9 月 14 日 17 時 48 分、脆弱性の報告制度を通じて外部のセキュリティ研究者から届いた報告だった。調べてみると、第三者がファイルを取得した記録が残っており、同社と調査を担った GMO サイバーセキュリティ byイエラエは、不正な目的で取られた可能性があると判断した。
認証の集約点から名簿が漏れる意味
漏れた情報は 2 種類ある。
- 一括操作のファイル: メールアドレス、氏名、使っている業務アプリの名前、各社が独自に設定した項目（社員番号・所属など）
- 契約情報ファイル: 企業 ID、ライセンス数、利用状況、解約日、請求書の送付先担当者の氏名・住所・電話番号・メールアドレス
ログイン用のパスワード、秘密の質問、多要素認証の情報、連携先サービスのパスワード、決済情報は含まれていない。
シングルサインオンは、1 回のログインで社内の複数の業務アプリに入れるようにする仕組みで、いわば会社の通用口だ。通用口の鍵は無事だったが、誰がどの部屋を使っているかの一覧が外に出た。氏名と所属と使っているアプリ名が揃えば、「契約更新のお知らせ」「ライセンスの超過」を装って ID とパスワードを入力させる偽のメールは、宛先ごとに作り分けられる。同社自身が第三報の冒頭で、この種の不審な連絡に注意するよう利用企業に呼びかけている。10 月 30 日時点で、二次被害の報告は確認されていない。
次に見るもの
最初の確認先は、11 月 12 日（木）に予定されている個人情報保護委員会への確報の提出だ。第三報は経緯の欄にこの日付を入れており、調査の結論が当局への正式な報告として固まる日になる。
その次は 11 月 30 日（月）の月次報告になる。再発防止策の多くは 11 月 30 日が期限で、ファイルを扱う処理を共通の部品にまとめる対策だけが 2027 年 1 月 31 日までとされた。同社は、完了した対策の数・内容・完了日を毎月同じページで示し、完了がない月もその旨を書くと約束している。サービスを使っている企業の管理者は、同社からの個別の連絡の有無を確かめ、社内の利用者に偽のメールへの注意を回すのが先になる。
ことば
- シングルサインオン（SSO） — 1 回の認証で複数のクラウドサービスや業務アプリに入れるようにする仕組み。パスワードを何十個も覚えなくて済む一方、入口が 1 か所に集まるため、周辺の情報が漏れると全社の利用状況が一度に見えてしまう。
- 公開領域のストレージ — インターネットから誰でも読める設定にしたクラウド上の保存場所。画像の配信には便利だが、一覧の取得を許したまま別のファイルを置くと、URL を知らない人にも中身が見つかる。クラウドの情報漏えいで繰り返し見られる原因の一つ。
- 確報 — 個人情報保護法にもとづき、漏えいが起きた事業者が個人情報保護委員会に出す 2 段階目の報告。不正な目的によるおそれがある漏えいでは、事態を知ってから 60 日以内に出す。
🔗 一次ソース