要点
発表された事実
- GMOグローバルサインは2026年10月30日、「GMOトラスト・ログイン」の情報漏えいについて第三報（調査結果）を公表した。原因は同社の設定の不備で、顧客情報を含むファイルが長期間外部から取得できる状態だった（GMOトラスト・ログイン 第三報）。
- ロゴ画像などを配信するための公開領域に、管理者が一括操作をしたときにシステムが作るひな形・エラーファイルや契約情報ファイルが保存され、ファイル一覧を外部から参照できた。リンクに署名や有効期限もなかった（同）。
- 取得できる状態だった期間は2017年11月14日頃〜2026年9月15日。アクセス記録で第三者の取得を確認できたのは2021年6月8日以降で、それ以前は記録がなく確認できない（同）。
- 対象は2,492社・45,030人（メールアドレスの重複を除く）。パスワード、秘密の質問、多要素認証の情報、SSO先のパスワード、決済情報は含まれない（同）。
- 2026年9月14日に脆弱性報告制度を通じて外部の研究者から報告を受けて判明した。二次被害の報告は10月30日時点で確認されていない（同）。
わかっていないこと
- ファイルを取得した第三者が誰で、何の目的だったか
- 2021年6月より前に取得されていたか（記録がない）
- 顧客企業ごとに取得されたファイルの具体的な内容
関係しそうな既知の手口
- 公開設定のクラウドストレージで、一覧表示（リスティング）が有効なまま機密ファイルが置かれる設定不備。静的ファイル配信用のバケットに別用途のファイルが混ざる例は多い（考察）。
概要
- ID管理・シングルサインオン（SSO）サービスの「GMOトラスト・ログイン」で、ロゴ配信用の公開ストレージに顧客情報を含む一時ファイルが保存されていた。
- 約9年間外部から取得できる状態で、少なくとも2021年6月以降は第三者による取得が記録に残っていた。
- 認証情報は含まれていないが、顧客企業の社員の氏名・メールアドレス・社員番号・所属・連携アプリ名が対象になった。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2017-11-14頃 | ロゴ画像の配信負荷対策としてストレージを公開領域に変更。この時点から取得できる状態に（第三報） |
| 2021-06-08 | アクセス記録で第三者の取得を確認できる最初の日（同） |
| 2026-09-14（月）17:48 | 外部の研究者から報告を受け判明（同） |
| 09-14 23:45頃〜09-15 16:00 | 外部からの取得を段階的に遮断（同） |
| 09-16（水） | 第一報。ダウンロードリンクを署名つき・有効期限1時間に変更（同） |
| 10-07（水） | 第二報（同） |
| 10-23（金） | 外部専門機関（GMOサイバーセキュリティ byイエラエ）の調査が完了（同） |
| 10-30（金） | 第三報。件数を2,492社・45,030人に更新（同） |
| 11-01（日） | NHK・日本経済新聞・読売新聞などが報道 |
| 11-12（木） | 個人情報保護委員会へ確報を提出予定（同） |
発表内容の整理
事実（GMOグローバルサインの第三報による）
| 項目 | 内容 |
|---|---|
| 公開領域に置かれていたファイル | カスタム属性一括登録・パスワード一括代理設定のひな形とエラーファイル、メンバー一括追加のエラーファイル、同社の契約情報ファイル |
| 対象企業 | 2,492社（一括操作ファイルの個人情報が取得された2,184社、請求送付先担当者の情報が取得された217社、企業を特定できない91社） |
| 対象人数 | 45,030人（一括操作ファイル44,836人、請求送付先担当者194人） |
| 一括操作ファイルの項目 | メールアドレス、氏名、対象アプリ名（連携サービス名）、カスタム属性値（社員番号、所属など） |
| 契約情報ファイルの項目 | 企業ID、ライセンス数、利用状況、解約日、請求送付先担当者の氏名・住所・電話番号・メールアドレス |
| 含まれない情報 | ログインパスワード、秘密の質問・回答、多要素認証の情報、SSO先のパスワード、決済情報 |
| 件数が増えた理由 | 初回調査で対象ファイルの不足と判定条件の誤りがあった。請求送付先担当者と特定できない管理者アカウントを追加 |
| 長く気づかなかった理由 | 定期診断・侵入テストの対象がアプリケーションとサーバーで、ストレージは対象外だった |
第三報では、第一報の「9月14日中に遮断」「2017年11月以降取得されていた」という記述を訂正している。同社は本報で調査結果の報告を最終とし、再発防止策の進み具合は11月30日から毎月報告するとしている（第三報）。
考察
漏えいした項目にパスワードはないが、「どの会社の誰が、どの業務サービスにSSOで入っているか」という対応表は、攻撃者にとって価値が高い。たとえば連携アプリ名がわかれば、そのサービスのログイン画面を装ったフィッシングを社員個人あてに送れる。同社自身も、契約更新やライセンス超過を口実にした連絡への注意を呼びかけている（考察）。
ひな形・エラーファイルという「処理の途中でできる一時ファイル」が、消されずに公開領域へ残り続けた点が根本にある。診断の範囲がアプリとサーバーに限られ、ストレージが外れていたという説明は、多くのSaaSで同じことが起こりうることを示している（考察）。
関係しそうな既知の手口
事実（既知の知見）
- 本ブログでも、公開状態のクラウドストレージや非本番環境から情報が取得された国内事例を扱ってきた（例：KOMOJU ― 非本番環境の脆弱性から加盟店のAPI認証情報が漏洩）。
考察
公開バケットでのファイル一覧表示の有効化と、推測しにくいはずのファイル名がそのまま並ぶ状態の組み合わせは、ツールで機械的に探索されやすい。2021年6月から取得が記録されているのは、こうした探索で見つかった可能性もあるが、同社は取得者を明らかにしていない（考察）。
利用者・運用者がいまできること
- GMOトラスト・ログインを使う企業の管理者は、同社からの個別連絡の内容を確認し、社員に「SSOやライセンスを口実にした不審なメール」への注意を共有する。
- SaaSを運営する事業者は、静的ファイル配信用のストレージに別用途のファイルが書き込まれていないか、一覧表示が無効になっているか、ダウンロードリンクに署名と有効期限があるかを点検し、診断の対象にストレージを含める。