GMOグローバルサイン株式会社は、同社が提供するID管理・シングルサインオンサービス「GMOトラスト・ログイン」において、顧客情報を含むファイルが第三者に取得されていた情報漏えい事案について、2026年10月30日に外部専門機関による調査結果を公表しました。
最終的な対象は2,492社、4万5,030人です。原因は外部からのサイバー攻撃やシステムへの侵入ではなく、クラウドストレージの設定および設計上の不備でした。
外部のセキュリティ研究者からの報告で発覚
2026年9月14日17時48分、GMOグローバルサインの脆弱性報告制度を通じて、外部のセキュリティ研究者から、クラウドストレージ上のファイルが認証なしで閲覧できる状態になっているとの報告がありました。
同社が確認したところ、サービスのロゴ画像などを配信するために公開設定としていたストレージ領域に、本来は非公開とすべき顧客情報を含むファイルが保存されていました。
さらに、この公開領域では外部からファイル一覧を取得することが可能で、一覧から個別のファイルを取得できる状態になっていました。
2017年11月から約9年間、外部から取得可能な状態
第三報によると、対象ファイルが外部から取得できる状態にあった期間は、2017年11月14日ごろから2026年9月15日までです。
アクセス記録によって実際のファイル取得を確認できた期間は、2021年6月8日から2026年9月15日まででした。
2021年6月7日以前についてはアクセス記録が残っていないため、第三者による取得の有無を確認できません。このため同社は、この期間についても取得されたおそれがある期間として扱っています。
第一報では「2017年11月以降、外部から取得されていたことを確認」と説明していましたが、第三報で「2017年11月以降は取得可能な状態で、アクセス記録によって取得を確認できたのは2021年6月8日以降」と訂正しています。
第三者によるファイル取得を確認
GMOサイバーセキュリティ byイエラエ株式会社によるアクセス記録の調査で、対象となるファイルが第三者に取得されていたことが確認されました。
GMOグローバルサインは、不正な目的で取得されたおそれがあると判断しています。
第一報では対象を暫定で2,007社・3万7,747人としていましたが、その後、調査対象ファイルの不足や判定条件の誤りが判明したため追加調査を実施。最終的な対象は2,492社、4万5,030人となりました。
対象は2,492社、4万5,030人
対象となった企業は合計2,492社です。このうち、管理画面での一括操作によって作成されたファイルに含まれる個人情報が取得された企業が2,184社、請求送付先担当者の情報が取得された企業が217社、管理者アカウントの削除などにより企業を特定できなかったものが91社です。
対象人数は、メールアドレスの重複を除いて4万5,030人です。一括操作で作成されたファイルに含まれていた4万4,836人と、請求送付先担当者194人が含まれます。
メールアドレスや氏名、社員番号などが漏えい
管理画面での一括操作により作成されたファイルには、メールアドレス、氏名、対象アプリ名となる連携サービス名、社員番号や所属など顧客企業が独自に設定したカスタム属性値が含まれていました。
契約情報ファイルには、企業ID、ライセンス数、利用状況、解約日などに加え、一部の請求送付先担当者について氏名、住所、電話番号、メールアドレスが含まれていました。
パスワードや多要素認証情報、カード情報は含まれず
今回取得されたファイルには、GMOトラスト・ログインへのログインに使用するパスワード、秘密の質問と回答、多要素認証の情報、シングルサインオンする各サービスのパスワード、クレジットカードなどの決済情報は含まれていません。
このため、今回の情報漏えいによってログインパスワードそのものが第三者に取得された事実は確認されていません。
原因は公開ストレージ領域への顧客情報保存
原因は、ロゴ画像などを配信するための公開ストレージ領域に、顧客情報を含む一時ファイルが保存される設計になっていたことです。
さらに、その領域では外部からファイル一覧を取得でき、ファイルへのリンクにも署名や有効期限が設定されていなかったため、第三者がファイルを閲覧・取得できる状態になっていました。
定期的なセキュリティ診断や侵入テストはWebアプリケーションとサーバーを対象としており、ファイルを保存するストレージは対象外だったため、長期間にわたって問題を発見できなかったとしています。
9月14日から15日にかけて段階的に遮断
第一報では、問題の報告を受けた9月14日中に外部アクセスを遮断したとしていましたが、第三報で訂正されています。
実際には2026年9月14日23時45分ごろから9月15日16時にかけて、対象ファイルへの外部からの取得を段階的に遮断しました。
その後、9月16日にファイルのダウンロードURLを署名付き・有効期限1時間の方式へ変更し、9月24日には保存場所に残っていた顧客情報を含むファイルを削除、9月25日にはファイル一覧を外部から取得できないよう変更しています。
10月2日には全ストレージの棚卸しや設定の常時監視を導入し、10月6日にはすべての保存場所でファイル一覧を外部から取得できないよう対策しました。
外部専門機関による調査は10月23日に完了
2026年9月20日から10月23日にかけて、GMOサイバーセキュリティ byイエラエ株式会社によるアクセス記録の調査と設定診断が行われました。
10月7日の第二報では、原因となった機能の改修とファイル保存方法の見直しを実施したことを報告するとともに、対象企業に対して個人情報保護委員会への報告に関する案内を開始しています。
外部専門機関による調査は10月23日に完了し、その結果をもとに10月30日の第三報で対象件数や原因、再発防止策が公表されました。
フィッシングメールや不審な電話に注意
今回漏えいした情報には、メールアドレスや氏名、所属、社員番号、利用している連携サービス名などが含まれる場合があります。
こうした情報を悪用することで、実際の企業名やサービス名、所属情報などを使った、正規の連絡に見えるフィッシングメールや標的型メールが作成される可能性があります。
GMOグローバルサインも、「契約の更新」「ライセンスの超過」「アカウントの確認」などを理由としてIDやパスワードの入力、送金などを求める不審な連絡に注意するよう呼びかけています。
同社がメールや電話でパスワードなどの認証情報を尋ねることはないとしており、心当たりのないメールを受信した場合は、記載されたURLや添付ファイルを開かず、返信もしないよう注意が必要です。
現時点で二次被害は確認されず
2026年10月30日時点で、今回の情報漏えいに起因する二次被害の報告は確認されていません。
同社は今後、クラウド環境を含む外部セキュリティ診断の対象拡大、公開領域の常時監視、開発時のセキュリティ確認、個人情報を含む一時ファイルの自動削除などを進めるとしています。
主要な再発防止策は2026年11月30日までに実施し、一部のファイル処理共通化については2027年1月31日までに対応する予定です。