【第三報】GMOトラスト・ログイン、2,492社・45,030人の情報が漏えい｜約9年間ファイルが外部から取得可能

ID管理サービス「GMOトラスト・ログイン」は2026年10月30日、顧客情報の漏えいについて第三報を出し、調査の完了を公表しました。設定の不備で、顧客の情報を含むファイルが2017年11月ごろから約9年間、外部から取得できる状態になっていました。

対象は2,492社・45,030人で、暫定値（2,007社・37,747人）から増えています。トラスト・ログインへのログインパスワード、多要素認証の情報、シングルサインオン先のサービスのパスワード、決済情報は含まれていません。

対象は2,492社・45,030人
取得されたファイルに含まれていた情報
原因はロゴ配信用の公開領域にファイルを保存していたこと
判明から第三報までの経緯
再発防止策は11月30日までに実施
利用者がとるべき対応
問い合わせ先
まとめ

対象は2,492社・45,030人

区分	企業数	人数
管理画面の一括操作で作られたファイルに含まれる個人情報が取得された	2,184社	44,836人
上記以外で、請求書送付先の担当者の情報が取得された	217社	194人
管理者アカウントの削除などで企業を特定できない	91社	－
合計	2,492社	45,030人

人数は、メールアドレスの重複を除いて数えた値です。件数が増えたのは、初回の調査で対象ファイルの不足と判定条件の誤りが見つかり、追加調査をしたためです。請求書送付先の担当者の情報が取得された企業と、所属企業を特定できない管理者アカウントも、新たに対象に加えています。

取得されたファイルに含まれていた情報

ファイル	含まれていた情報
管理画面の一括操作で作られたファイル（メンバーの一括追加、パスワードの一括代理設定などのひな形・エラーファイル）	メールアドレス、氏名、対象アプリ名（連携サービス名）、カスタム属性値（社員番号、所属など、企業が独自に設定した項目）
トラスト・ログインの契約情報ファイル	企業ID、ライセンス数、利用状況、解約日。請求書送付先の担当者の氏名、住所、電話番号、メールアドレス

外部の専門機関（GMOサイバーセキュリティ byイエラエ）がアクセス記録を調べた結果、これらのファイルが第三者に取得されていたことが確認されました。トラスト・ログインは、不正な目的で取得されたおそれがあると判断しています。

原因はロゴ配信用の公開領域にファイルを保存していたこと

トラスト・ログインは、サービスのロゴ画像などを配信するため、ストレージの一部を外部から見られる公開領域として使っていました。この公開領域に、顧客情報を含む一時ファイルも保存される設計になっていました。

公開領域のファイル一覧を外部から取得でき、ファイルのリンクに署名や有効期限もなかった
定期的な診断や侵入テストはアプリケーションとサーバーが対象で、ファイルを保管するストレージは対象外だった

そのため、長いあいだ気づけなかったとしています。2017年11月14日ごろ、ロゴ画像の配信負荷への対策でストレージを公開領域に変えた時点から、取得できる状態になっていたと判断しています。

期間	内容
2017年11月14日ごろ〜2026年9月15日	外部から取得できる状態だった期間
2021年6月8日〜2026年9月15日	アクセス記録で取得を確認した期間

2021年6月7日以前はアクセス記録が残っておらず、取得されたかどうかは確認できません。この期間も、取得されたおそれがある期間として扱っています。

判明から第三報までの経緯

日付	できごと
2026年9月14日（月）17時48分	脆弱性報告制度を通じて、外部のセキュリティ研究者から報告を受け、判明
9月14日23時45分ごろ〜9月15日16時	外部からのファイル取得を段階的に遮断
9月16日（水）	第一報。対象企業の管理者への個別連絡を開始
10月7日（水）	第二報。個人情報保護委員会への報告に関する案内の送付を開始
10月23日（金）	外部専門機関の調査が完了
10月30日（金）	第三報
11月12日（木）予定	個人情報保護委員会に確報を提出

第三報では、第一報の内容の訂正もしています。遮断は「9月14日中」ではなく9月14日夜から15日にかけて段階的に行ったこと、「2017年11月以降、取得を確認」ではなく、取得を確認できたのは2021年6月8日以降であることです。

再発防止策は11月30日までに実施

ファイルのダウンロード用リンクを署名つき・有効期限1時間のものに切り替え、残っていたファイルの削除や、すべての保存場所でファイル一覧を外部から取得できないようにする対策は実施済みです。今後は次の4つの観点で対策を進めます。

設計：原則非公開の構成にする。公開が必要なロゴ画像などは配信専用の仕組みに限る
確認：ファイルを扱う機能の設計時に、データの種類・保存先・保存期間・削除方法などの確認を必須にする
点検：外部の専門機関による診断を年2回行い、対象をクラウド環境全体などに広げる
残さない：顧客情報を含むファイルに保存期間を決め、期限が過ぎたら自動で削除する

これらは原則2026年11月30日までに実施し、ファイル処理の共通部品化だけは2027年1月31日までとしています。第三報で調査結果の報告は最終とし、今後は再発防止策の実施状況を毎月報告します。

利用者がとるべき対応

トラスト・ログインは、取得された情報を悪用し、同社を装った不審な連絡が来るおそれがあるとしています。契約の更新、ライセンスの超過、アカウントの確認などを理由に、IDやパスワードの入力、送金を求める連絡に注意するよう呼びかけています。心当たりのない連絡はURLや添付ファイルを開かず、返信もしないよう求めています。同社がメールや電話でパスワードなどの認証情報を尋ねることはないとしています。管理者には、利用中のメンバーにもこの内容を共有するよう求めています。

ここからは公式発表には書かれていない、筆者の見解です。取得されたファイルには、社員番号や所属、どのサービスにシングルサインオンしているかといった情報まで含まれます。勤務先の情報システム部門やIT担当を名乗り、「SSOの再設定が必要」と誘導する手口も考えられます。トラスト・ログインを使っている会社の人は、社内の正規の窓口に確認してから対応するのが安全です。