GMOグローバルサインが提供するGMOトラスト・ログインで、設定の不備により、顧客から預かった情報を含むファイルが長期間外部から取得できる状態になっていたと発表しました。取得できる状態だったのは2017年11月14日頃から2026年9月15日までで、アクセス記録で第三者による取得を確認できたのは2021年6月8日以降です。それ以前は記録が無く取得の有無を確認できていませんが、取得されたおそれがある期間として扱うとしています。不正な目的で取得されたおそれがあると判断しています。対象は2,492社・45,030人で、メールアドレス、氏名、請求送付先担当者の住所・電話番号などが含まれます。
事故の概要
- 漏えいした情報
- 一括操作で作成されたファイル：メールアドレス、氏名、対象アプリ名、カスタム属性値（社員番号、所属など）。契約情報ファイル：企業ID、ライセンス数、利用状況、解約日、請求送付先担当者の氏名・住所・電話番号・メールアドレス。ログイン用パスワード、秘密の質問・回答、多要素認証の情報、決済情報は含まれないと発表
- 件数
- 45,030件2,492社・45,030人（メールアドレスの重複を除く）。内訳は一括操作ファイルが44,836人、請求送付先担当者が194人。第一報は2,007社・37,747人（暫定値）
- 誰の情報か
- 不明
- 状態
- 確定
- 原因
- 設定の誤り
- ドメイン
- trustlogin.com
経緯
- 検知9/14
- 初動対応9/14
- 公表9/16
- 続報10/7
- 調査結果10/30
- 再発防止策10/30
検知2026年9月14日
2026年9月14日17:48に、脆弱性報告制度を通じて外部のセキュリティ研究者から報告を受け、本件が判明したと、第三報で説明しています。
初動対応2026年9月14日
9月14日23:45頃から9月15日16:00にかけて、外部からのファイル取得を段階的に遮断しました。第一報では9月14日中に遮断したと書いていたものを、第三報で訂正しています。
公表2026年9月16日
GMOトラスト・ログインで、クラウドストレージの設定不備により、顧客の情報を含むファイルが外部から閲覧できる状態になっており、第三者に取得されていたことが判明したと公表しました。9月14日に外部の研究者から報告を受けたとしています。外部の攻撃やシステムへの侵入ではなく、設計・設定上の不備によるものと説明しています。
対象は2,007社・37,747人（暫定値）で、大半はメールアドレスのみ、請求先情報には氏名・住所・電話番号が揃って含まれるとしています。ログイン用パスワード、秘密の質問・回答、多要素認証の情報、決済情報は含まれていません。個人情報保護委員会へ報告し、外部の専門機関による調査を実施中で、対象の顧客には個別にメールで連絡を始めたとしています。
続報2026年10月7日
原因となった機能の改修を完了し、ファイルの保存方法の見直しを含む対策を実施していると発表しました。現在、顧客の情報を含むファイルが外部から取得できる状態にはないとしています。
利用企業にも個人情報保護委員会への報告が必要になるため、対象の顧客には10月7日から順次メールで案内を送っています。外部の専門機関（GMOサイバーセキュリティ byイエラエ株式会社）の調査結果は10月下旬に報告する予定としました。
調査結果2026年10月30日
外部専門機関による調査が完了したとして、結果を発表しました。対象は2,492社・45,030人で、暫定値の2,007社・37,747人から更新しています。一括操作で作成されたファイルに含まれる人が44,836人、請求送付先担当者が194人で、メールアドレスの重複は除いて数えています。調査対象のファイルの不足と判定条件の誤りが分かったため追加調査し、請求送付先担当者の情報が取得された企業なども新たに対象に含めたと説明しています。
ロゴ配信のため公開領域として使っていたストレージに、顧客情報を含む一時ファイルと契約情報ファイルを保管しており、一覧を参照すれば個別のファイルを取得できる状態でした。リンクに署名や有効期限もありませんでした。取得できる状態だった期間は2017年11月14日頃から2026年9月15日で、アクセス記録で取得を確認できたのは2021年6月8日以降です。それ以前はアクセス記録がなく、取得の有無は確認できていないとしています。
本件に起因する二次被害の報告は、10月30日時点で確認されていないとしています。個人情報保護委員会には11月12日に確報を提出する予定です。
訂正2026年10月30日
第一報の2点を訂正しました。遮断は『9月14日中』ではなく、9月14日23:45頃から9月15日16:00にかけて段階的に行いました。『2017年11月以降、外部から取得されていたことを確認』は、正しくは2017年11月以降は取得できる状態にあり、アクセス記録で取得を確認できたのは2021年6月8日以降で、それ以前は取得の有無が確認できないとしています。
再発防止策2026年10月30日
実施済みの対策として、9月16日にダウンロード用リンクを署名つき・有効期限1時間に切り替え、9月24日に保存場所に残っていた顧客情報を含むファイルを削除、10月2日にすべての保存場所の棚卸しと設定の常時監視の導入、10月6日にすべての保存場所でファイル一覧を外部から取得できないようにしたとしています。
これからの対策として、公開が必要なものは配信専用の仕組みに限定すること、開発工程での事前確認、外部専門機関による診断の範囲拡大（年2回）、保存期間を決めた自動削除を挙げ、原則として2026年11月30日までに実施するとしています。ただし、処理を共通の部品にまとめる対策は2027年1月31日まで、外部専門機関による診断は継続して実施するとしています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
このサービスを使っていた方へ
- 1会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
- 2知らない番号からの電話や SMS、届いた覚えのない郵便に気をつけてください。
- 3会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。