パスワードは含まれていませんでした。それでもID管理サービスから外に出たのは、誰が、どの会社のどの部署で、どのサービスを使っているかという一覧です。ロゴ画像を配るための公開領域に顧客のファイルが置かれ、9年近く外から取り出せる状態だったといいます。
GMOグローバルサインは2026年10月30日、ID管理・シングルサインオンサービス「GMOトラスト・ログイン」で、顧客情報を含むファイルが外部から取得できる状態だったとする第三報を公表した。対象は2,492社の45,030人。ロゴ画像の配信用に外部へ公開していたストレージの領域に、管理画面の一括操作で作られたファイルなどを保管していたことが原因で、2017年11月14日頃から2026年9月15日まで取得できる状態にあった。
アクセス記録で第三者の取得を確認できたのは2021年6月8日以降である。含まれていたのはメールアドレス、氏名、連携サービス名、社員番号などの企業が設定した項目で、一部の請求送付先担当者は住所と電話番号も含む。ログインのパスワード、多要素認証の情報、決済情報は含まれない。
From: 
【重要】GMOトラスト・ログインにおけるお客様情報の漏えいに関するお詫びとお知らせ（第三報）
【編集部解説】
社員のIDとログインをまとめて預かるサービスで、顧客の情報が9年近く、外部から取得できる状態にありました。GMOグローバルサインが9月14日に外部のセキュリティ研究者から報告を受けて判明し、10月30日の第三報で、外部専門機関の調査を踏まえた件数と原因を示しました。同社は第三報をもって、調査結果の報告は最終としています。
「鍵」は含まれず、出たのは「地図」の手がかり
GMOトラスト・ログインは、社内システムやクラウドサービスのIDを一元管理し、一度のログインで複数のサービスを使えるようにするクラウド型のID管理サービス（IDaaS）です。
今回取得できる状態にあった情報に、ログインのパスワード、秘密の質問と回答、多要素認証の情報、シングルサインオンする各サービスのパスワードは含まれていません。ID管理サービスとして最も重い「鍵」にあたる情報は、今回の対象ファイルには含まれていません。
ただ、含まれていた項目には、この種のサービスならではのものがあります。管理画面の一括操作で作られたファイルには、メールアドレスと氏名に加えて、「対象アプリ名（連携サービス名）」と、社員番号や所属といった企業が独自に設定した項目が入っていました。設定されていた項目の組み合わせによっては、誰が、どの会社の、どの部署で、どのサービスと関わっているのかを推し量る手がかりになります。パスワードがなくても、これは業務の連絡を装ったメールを本物らしく仕立てる材料になり得ます。
GMOグローバルサインも、契約の更新、ライセンスの超過、アカウントの確認などを理由にIDやパスワードの入力や送金を求める連絡に注意するよう呼びかけています。同社がメールや電話でパスワードなどの認証情報を尋ねることはないとしています。10月30日時点で、本件が原因の二次被害の報告は確認されていません。
ロゴを配る場所に、顧客のファイルが置かれていた
同社の説明では、原因は外からの侵入ではなく、ストレージの使い方でした。同社は2017年11月14日頃、ロゴ画像の配信の負荷を減らすため、ストレージを外部から閲覧できる公開領域に変えました。その公開領域に、管理者がメンバーの一括登録などをしたときにシステムが作るひな形やエラーファイル、同社の契約情報ファイルも保存される設計になっていました。
公開領域ではファイルの一覧を外から取得でき、ファイルのリンクには署名も有効期限もありませんでした。一覧を見れば、個別のファイルを取り出せる状態だったことになります。
長く気づけなかった理由として同社が挙げたのは、診断の範囲です。定期的な診断や侵入テストはアプリケーションとサーバーが対象で、ファイルを保管するストレージは対象外でした。診断を受けていても、その診断だけでは、対象に含めていないストレージの設定まで確かめたことにはなりません。診断の対象範囲を確かめることは、クラウドを使うどの組織にも通じる教訓です。
同社はすでに、ダウンロード用のリンクを署名つき・有効期限1時間のものに切り替え、残っていたファイルを削除し、すべての保存場所でファイル一覧を外から取得できないようにしています。保存場所の設定の常時監視も始めました。今後は、公開が必要なものを配信専用の仕組みに限り、外部の専門機関による診断を年2回、クラウド環境全体と外部に公開しているすべての資産に広げるとしています。これらの対策は、一部を除き11月30日までに実施する予定です。
件数は増え、期間の説明は改められた
第三報は、第一報からの変更点を冒頭にまとめています。件数は、第一報の暫定値2,007社・37,747人から2,492社・45,030人に増えました。調査対象のファイルの不足と判定条件の誤りがあったこと、請求送付先の担当者の情報と、所属企業を特定できない管理者アカウントを新たに対象に加えたことが理由です。
期間の説明も改められました。第一報は「2017年11月以降、外部から取得されていたことを確認」としていましたが、正しくは、2017年11月以降は取得できる状態にあり、アクセス記録で取得を確認できたのは2021年6月8日以降です。それより前はアクセス記録が残っておらず、同社はこの期間も取得されたおそれがある期間として扱うとしています。外部専門機関はGMOサイバーセキュリティ byイエラエで、ファイルは第三者に取得されており、不正な目的で取得されたおそれがあると同社は判断しています。
導入企業の担当者が確かめること
この事案で特徴的なのは、影響が導入企業の側の手続きにも及ぶ点です。同社は10月7日の第二報で、同社だけでなく、同社のサービスに情報を預けている導入企業にも、個人情報保護委員会への報告が必要になると案内しました。報告に関する案内は、10月7日から対象の企業に順次メールで送られています。
公表資料からは、導入企業の担当者が確かめることとして、次のことが挙げられます。
- 同社からの個別のメールが届いているか。対象のうち91社は、管理者アカウントの削除などで企業を特定できていません。管理者が交代した、退職したといった企業は、窓口で確かめるのが確実です
- 個人情報保護委員会への報告の案内に沿って、自社の報告を進めているか。報告の期限は、各社が事態を知った日から数えます。同社が確報を出す予定の11月12日は、導入企業に共通の期限ではありません
- 対象となった社員や元社員への通知をどう行うか。個人情報保護法は、報告の対象になる事態では、原則として本人への通知も求めています。連絡先が古いなどで通知が難しい場合は、本人の権利利益を守るための代わりの措置をとる扱いがあります
- 自社がカスタム属性に何を設定していたか。社員番号や所属のほかに独自の項目を入れていれば、それも含まれていた可能性があります
- 不審な連絡への注意を、社員に共有したか。同社は管理者に、メンバーへの共有を求めています
- 対象に、すでに退職した人が含まれていないか
導入企業の側の公表も出ています。株式会社アドウェイズは10月30日、グループの元従業員176名の氏名と、在籍時の業務用メールアドレスが対象になったと公表しました。対象は、2018年9月に同社グループがサービスを使い始めて以降に在籍し、アカウントを登録していた人です。同社は、GMOグローバルサインと連名で個人情報保護委員会に報告したとしています。取得できる状態が長く続いたぶん、いまは社内にいない人にまで影響が及んでいます。
窓口は、お問い合わせフォーム（https://trustlogin.com/contact/）と電話（03-4545-2303、10時〜18時、土日祝日を除く）です。
同じグループで続く公表のなかで
GMOインターネットグループでは、GMOインターネットのFX自動売買用VPS「お名前.com デスクトップクラウド」への不正アクセスが10月21日から公表されており、innovaTopiaでも連載で伝えてきました。今回の事案は、提供する会社もサービスも別です。発覚したのは9月14日で、お名前.com デスクトップクラウドの件が公表される前にあたります。第三報は、お名前.com デスクトップクラウドの件に触れていません。
同社は個人情報保護委員会への確報を11月12日に出す予定です。再発防止策の実施状況は、11月30日を初回に、すべての対策が終わるまで毎月報告するとしています。完了した対策がない月も、その旨を報告するといいます。
ID管理は、企業のセキュリティの入口を預かる仕事です。第三報は、原因を設計・確認・点検の3つに分けて見直し、報告の期日まで書き込みました。毎月の報告で対策が一つずつ埋まっていくことが、預ける側の企業にとって、何よりの確かめる材料になるはずです。
【関連記事】
【解説】GMO、2年前に子会社イエラエが見直しを求めていたと報道 被害者を集めるサイトも公表前に準備か、11月2日に会見
お名前.com デスクトップクラウドの件で、第13報から第16報と代表ブログ、10月31日からの報道をつないだ解説記事。
【解説】お名前.com デスクトップクラウド、攻撃者が情報公開 GMOは要求を拒み懸賞金100万ドル
お名前.com デスクトップクラウドの件で、攻撃者の要求と情報の公開、GMOが用意した特別見舞金と懸賞金を追った解説記事。
【解説】お名前.com デスクトップクラウド、顧客情報の持ち出しを確認 不正取引の損失を補償へ
お名前.com デスクトップクラウドへの不正アクセスと顧客情報の持ち出しを、第1報から第5報までの公表で読み解いた解説記事。
個人情報保護委員会、不正アクセスの漏えい報告を集計 延べ約2億6000万人、安全管理措置のガイドライン改正は前倒しへ
個人情報保護委員会が示した延べ約2億6000万人という数字の数え方と、安全管理措置のガイドライン改正の前倒しを解説した記事。
【編集部後記】
始まりは2017年、ロゴ画像の配信の負荷を減らすための変更でした。サービスを軽くするための、ごく日常的な判断です。その変更が、同じ場所に置かれた顧客のファイルの扱いまで変えていたことに、診断の範囲の外だったため、9年近く気づけませんでした。
自社のクラウドで、ひとまず「公開」にした保存場所はいくつあるでしょうか。その一覧を、いま誰が把握しているか。確かめるのは、そこからで十分です。
【用語解説】
IDaaS（Identity as a Service）
社員のIDやパスワード、ログインをクラウド上でまとめて管理するサービス。シングルサインオンや多要素認証、外部サービスへのアカウントの作成・停止などの機能を持つ。
シングルサインオン（SSO）
一度のログインで、連携した複数のサービスを使えるようにする仕組み。ログインの入口が一つにまとまるぶん、その入口を預かるサービスの守りが重要になる。
多要素認証
パスワードに加えて、スマートフォンに届く確認コードや生体認証など、種類の違う複数の要素で本人を確かめる仕組み。今回の事案では、その情報は含まれていないとされる。
カスタム属性
GMOトラスト・ログインで、導入企業がメンバーごとに独自に設定できる項目。第三報は例として社員番号や所属を挙げている。
侵入テスト
攻撃者と同じ手口で実際にシステムへの侵入を試み、守りの弱いところを探す検査。どこまでを対象にするかを事前に決めて行うため、対象外の部分は確かめられない。
署名つきのリンク（署名付きURL）
ファイルを取り出すためのリンクに、改ざんを防ぐ署名と有効期限を付けたもの。期限が過ぎると使えなくなり、リンクを知っているだけではファイルを取り出し続けられない。
漏えい等報告（速報・確報）
個人情報保護法にもとづき、事業者が個人情報保護委員会に行う報告。速やかに出す速報と、原則30日以内、不正な目的による行為に伴うおそれがある場合は60日以内に出す確報がある。
【参考リンク】
GMOトラスト・ログイン（外部）
GMOグローバルサインが提供するクラウド型のID管理サービスの公式サイト。トップページの「重要」欄に、本件の第三報が載っている。
【重要】GMOトラスト・ログインにおけるお客様情報の漏えいに関するお知らせとお詫び（第一報）（外部）
2026年9月16日の第一報。暫定値の2,007社・37,747人と、その時点で判明していた原因や対応の説明を載せている。
【重要】GMOトラスト・ログインにおけるお客様情報の漏えいに関するお知らせとお詫び（続報）（外部）
2026年10月7日の続報。原因となった機能の改修完了と、導入企業にも個人情報保護委員会への報告が必要になることを伝える。
当社グループが利用するクラウドサービス「GMOトラスト・ログイン」における個人情報の漏洩について（外部）
導入企業アドウェイズの公表。元従業員176名の氏名と業務用メールアドレスが対象で、提供元と連名で委員会に報告したとする。
漏えい等の対応とお役立ち資料（個人情報保護委員会）（外部）
漏えい等が起きたときの、事業者による委員会への報告と本人への通知について、手続きや様式、Q&Aをまとめた委員会のページ。
【参考記事】
GMO傘下 顧客情報漏えい 9年近く外部から取得可能な状態（NHK）（外部）
NHKが2026年11月1日に報じた記事。GMOインターネットグループ傘下の会社で、約4万5000人分の顧客情報が漏えいしたと伝える。
GMO系、顧客情報4.5万人分漏洩 設定ミスで9年間外部から取得可能（日本経済新聞）（外部）
日本経済新聞の2026年11月1日の記事。2,492社・4万5030人分の漏洩と、診断の対象外だったストレージという原因を伝える。
