GMOグローバルサインのID管理・シングルサインオンサービス「GMOトラスト・ログイン」で、2492社・4万5030人の情報を含むファイルが第三者に取得されました。ファイルは2017年11月14日頃から2026年9月15日まで外部から取得できる状態にあり、同社は設定不備と一時ファイルの保存方法を原因として挙げています。
ロゴ配信用の公開領域に顧客情報を含むファイル
GMOグローバルサインは、サービスのロゴ画像などを配信するため、ストレージの一部を外部から閲覧できる公開領域として使っていました。そこには、管理画面で一括操作した際に作られるひな形・エラーファイルや、同社の契約情報ファイルも保存されていました。
公開領域ではファイル一覧を参照でき、一覧から個別のファイルを取得できる状態でした。外部専門機関がアクセス記録を調査し、これらのファイルが第三者に取得されていたことを確認しました。同社は、不正な目的で取得されたおそれがあると判断しています。
外部のセキュリティ研究者が脆弱性報告制度を通じて報告したのは2026年9月14日17時48分です。ファイル取得は同日23時45分頃から翌15日16時まで段階的に遮断されました。
対象は2492社、4万5030人
対象企業は2492社、対象人数は4万5030人です。一括操作で作成されたファイルに個人情報が含まれていた企業は2184社、請求送付先担当者の情報が取得された企業は217社で、管理者アカウントの削除などにより企業を特定できないものが91社ありました。
一括操作で作られたファイルには、メールアドレス、氏名、連携サービス名、社員番号や所属など、利用者が設定したカスタム属性値が含まれていました。契約情報ファイルには企業ID、ライセンス数、利用状況、解約日があり、請求送付先担当者の氏名、住所、電話番号、メールアドレスも含まれていました。
GMOグローバルサインによると、対象ファイルにGMOトラスト・ログインへのログインパスワードや秘密の質問・回答、多要素認証情報、連携先サービスのパスワード、クレジットカードなどの決済情報は含まれていません。2021年6月7日以前はアクセス記録が残っておらず、取得の有無を確認できない期間も、取得のおそれがある期間として扱われています。
ファイル一覧を含む公開範囲の管理
同社は原因として、ロゴ配信用の公開領域に顧客情報を含む一時ファイルが保存される設計だったことを挙げています。ファイル一覧を外部から取得でき、個別ファイルのリンクに署名や有効期限もなかったため、第三者が閲覧・取得できる状態でした。
Google Cloud Storageでは、バケット内の全オブジェクトを一般公開する設定として、allUsersにStorageオブジェクト閲覧者のロールを付与する方法があります。このロールにはオブジェクトの一覧表示に必要な権限も含まれます。
一覧を公開せず、オブジェクトの取得だけを許可する場合は、ストレージのレガシー オブジェクト読み取りロールを使う方法があります。公開が必要なファイルと、一覧や取得を制限すべきファイルを分けて権限を設定する考え方です。
取得遮断後の対策と今後の報告
同社は2026年9月16日にダウンロード用リンクを署名付き・有効期限1時間に変更し、9月24日に保存場所に残っていた顧客情報入りファイルを削除しました。9月25日には該当場所のファイル一覧を外部から取得できないようにし、10月6日までにすべての保存場所で一覧取得を停止しました。
今後は、公開が必要なファイルを配信専用の仕組みに限定し、ファイルを扱う機能の設計時に保存先やアクセス方法、保存期間、削除方法を確認する方針です。リリースごとのセキュリティテストや、外部専門機関による診断対象の拡大、保存期限後の一時ファイル自動削除にも取り組むとしています。
対策の実施状況は、完了するまで毎月報告し、初回は2026年11月30日を予定しています。外部専門機関による診断は年2回とし、毎年12月には診断結果や社内点検・教育の実施状況を報告する予定です。同社は2026年10月30日時点で、本件に起因する二次被害の報告はないとしています。
