GMOグローバルサイン「GMOトラスト・ログイン」のクラウドストレージ設定不備による顧客情報漏えい（45,030人・2,492社）
公表日
GMOグローバルサインのID管理サービス「GMOトラスト・ログイン」で、クラウドストレージの設定不備共有範囲やアクセス権の設定を誤り、本来は見えてはいけない情報が、他の人やインターネットから見える状態になってしまうことです。攻撃がなくても漏えいが起きます。クラウドの共有リンクや「全員に公開」の設定で起きやすい事故です。により、利用企業2,492社の顧客情報45,030人分が外部から取得可能な状態となり、第三者に取得されていたことが判明しました。
対象者は？
GMOトラスト・ログインの利用企業2,492社、計45,030人。流出した可能性のある情報は氏名、メールアドレス、連携アプリ名、社員番号や所属などの設定情報、企業の契約・請求担当者情報です。ログインパスワードやSSO連携先パスワード、秘密の質問、多要素認証情報、クレジットカード等の決済情報は含まれていません。
対象となる利用企業および担当者にはGMOグローバルサインから個別にメールで案内が行われています。心当たりのある企業管理者は同社からの連絡を確認してください。
いますぐできること
- GMOグローバルサインから届いている案内メールの内容を確認し、社内の対象アカウントや連携設定の有無を照合する
- 自社が対象企業に該当する場合は、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。要否や従業員への周知手順について社内対応を確認する
- 流出したメールアドレス等を悪用した不審な連絡やフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。メールに注意するよう従業員に注意喚起する
何が起きたのか
2026年9月14日、外部のセキュリティ専門家から「インターネット上でファイルが誰でも見られる状態になっている」と指摘を受け、調査したところ問題が判明しました。同社は翌日にかけて外部からのアクセスを遮断しました。その後の詳細な調査により、2021年6月以降、複数の外部接続元から実際にファイルがダウンロードされていたことが確認されました。影響範囲は利用企業2,492社、計45,030人に上り、2026年10月30日に最終的な調査結果が公表されました。
なぜ起きたのか・なぜ広がったのか
2017年11月にサービスのロゴ画像を配信する負荷を減らすため、ストレージの一部を公開領域に変更した際、管理画面で作成される一時ファイルや契約ファイルを同じ場所に保存する設計にしていました。さらに、ファイルの一覧を誰でも見られる状態になっており、ダウンロード用リンクに署名や有効期限がありませんでした。定期的なセキュリティ診断でもストレージが対象外になっていたため、長期間気づくことができませんでした。
いまの状況2026-10-30 時点続報待ち
アクセス遮断や問題となった機能の改修、公開ストレージ上のファイルの削除、ファイル一覧表示の停止などの対策が完了しています。ストレージの公開設定を常時監視する仕組みも導入されました。2026年10月30日時点で本件に伴う二次被害の報告は確認されておらず、同社は2026年11月12日に個人情報保護委員会へ確報を提出する予定です。
企業として考えたいこと
自社のWebサービスや業務システムで、画像の配信用など「公開前提のストレージ」に、業務データや一時ファイルが混ざって保存されてしまう設計になっていませんか？
技術的な要約
GMOグローバルサイン株式会社が提供するID管理・シングルサインオン（SSO）サービス「GMOトラスト・ログイン」において、クラウドストレージの設定および設計上の不備により、顧客情報を含むファイルが外部から閲覧・取得可能な状態となっていたことが判明した。2017年11月14日頃にロゴ画像配信の負荷軽減を目的としてクラウドストレージの一部を外部公開領域に変更した際、管理画面の一括操作で作成されるひな形やエラーファイル、契約情報ファイルが同領域に保存され、ファイル一覧の参照や個別ファイル取得のリンクに署名や有効期限が設けられていなかった。2026年9月14日に外部のセキュリティ研究者からの報告を受けて発覚し、同社はアクセス遮断と外部専門機関による調査を実施した。調査の結果、2021年6月8日以降に第三者によるファイル取得が確認され、影響対象は利用企業2,492社、計45,030人に上った。なお、サービスおよびSSO連携先のログインパスワード、多要素認証情報、クレジットカード等の決済情報は漏えい対象に含まれておらず、二次被害の報告も確認されていない。
攻撃の分類
- 侵入口
- クラウド設定不備公表で確認サービスのロゴ画像等を配信するための公開設定ストレージ領域に管理者向けテンプレートファイルや契約管理用ファイルを保管し、外部からのファイル一覧取得を許可する設定となっていた。
- 脆弱性
- CVE 非公表公表で確認クラウドストレージ公開ストレージ領域への顧客情報一時ファイル・契約管理ファイル保管、外部からのファイル一覧取得許可、ダウンロードリンクへの署名・有効期限の未設定
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 原因となった機能の提供停止や改修が行われたが、サービス全面停止や中核業務停止、二次被害の発生は確認されていない。
- データ
- 確定上限 45,030確定 45,030人氏名メール電話住所業務データその他第三者による取得が確認された対象は合計2,492社・45,030人。内訳は、一括操作関連ファイルに含まれた44,836人（2,184社）、請求送付先担当者194人（217社）、管理者アカウント削除等で企業特定不能の91社。含まれていた情報は氏名、メールアドレス、連携対象アプリ名、カスタム属性（社員番号、所属等）、企業ID、ライセンス数、利用状況、解約日、請求先担当者の氏名・住所・電話番号・メールアドレス。ログインパスワード、SSO先パスワード、秘密の質問と回答、多要素認証情報、決済情報は含まれない。
- 波及先
- 2492 社
- 株式会社アドウェイズ（元従業員176名分の氏名および業務用メールアドレスが外部から閲覧可能・取得されていたことを公表）
- 金銭影響
- —
- サプライチェーン
- IDaaS/SSOサービス提供元であるGMOグローバルサインのクラウドストレージ設定不備により、同サービスを利用していた企業2,492社の従業員情報や契約情報が外部に漏えいした。
時系列
技術解説
公開ストレージ設定と約9年間にわたる露出の経緯 事実
GMOグローバルサインが提供する「GMOトラスト・ログイン」では、2017年11月14日頃にロゴ画像配信の負荷軽減を目的としてクラウドストレージの一部を外部公開領域に変更しました。この領域に管理画面の一括操作で作成されるひな形やエラーファイル、契約管理ファイルが保管される設計となっており、外部からファイル一覧の参照や個別ファイルの取得が可能な状態となっていました。個別ファイル取得リンクには署名や有効期限が設定されていませんでした。2026年9月14日に脆弱性報告制度を通じて外部セキュリティ研究者からの指摘を受けて発覚し、段階的に外部アクセスを遮断しました。アクセス記録で第三者によるファイル取得が確認されたのは2021年6月8日以降で、それ以前の記録は残っていませんでした。影響対象は利用企業2,492社、計45,030人に上り、氏名やメールアドレス、連携アプリ名、契約・請求先情報が含まれていました。一方、ログインパスワードや多要素認証情報、決済情報は含まれていませんでした。
セキュリティ診断の対象範囲の死角と長期未検知の構造 解釈
本件で約9年間もの長期にわたり設定不備が検知されなかった主要因として、定期的な脆弱性診断や侵入テストの対象範囲がアプリケーションやサーバーに偏重し、ファイルを保管するクラウドストレージそのものが診断対象から除外されていた点が挙げられます。クラウド環境への移行やアセット運用の過程で、公開アセットと非公開データの境界設計が形骸化し、運用変更（ロゴ画像配信の負荷分散）時に顧客データを含む一時ファイルが同一領域へ書き出される設計上の依存関係が見落とされていました。また、外部からのファイル一覧取得（Directory Listing / Bucket Listing）が許可されていたことや、ダウンロードリンクに署名付きURL（Pre-signed URL）や有効期限が適用されていなかったことも、容易なデータ列挙と取得を可能にした要因といえます。クラウド設定のセキュリティ状態を継続的に評価するCSPMや設定変更時の影響評価プロセスが機能していなかったことが、検知の遅延を招いたと考えられます。
SaaSサプライチェーンにおける委託元・委託先双方のガバナンス課題 解釈
本件はIDaaS/SSOという企業の認証・ID管理の中核を担うSaaSを起点としたサプライチェーンインシデントであり、利用企業2,492社への波及をもたらしました。一次報時点の暫定値（2,007社・37,747人）から三次報で対象が拡大した背景には、調査対象ファイルの漏れや判定条件の誤りによる再調査があり、事後対応におけるデータ洗い出しの難しさが浮き彫りとなっています。さらに、委託先であるGMOグローバルサインだけでなく、従業員情報を預けていた利用企業側にも個人情報保護委員会への報告義務が生じるなど、SaaS利用に伴う法令対応・説明責任の波及が確認されました。SaaSベンダーにはクラウド基盤を含めた包括的セキュリティ統制が求められると同時に、利用企業側も重要情報を委託するサービスの選定・見直しにおいて、第三者認証や監査状況だけでなく、クラウドストレージ等のアセット管理状況まで評価視野に含める重要性を示唆しています。
対応
- 封じ込め
- 2026年9月14日23時45分頃から9月15日16時にかけて外部からのファイル取得を段階的に遮断した。全ストレージのアクセス設定点検、原因となった機能の提供停止、ダウンロードリンクの署名付き・有効期限1時間方式への変更（9月16日）、該当ファイルの削除（9月24日）、ファイル一覧表示停止（9月25日）、全保存場所の棚卸しと公開設定常時監視の導入（10月2日）、全保存場所のファイル一覧取得停止（10月6日）、原因機能の改修完了（10月7日）などを実施した。
- 公表の仕方
- 2026年9月16日に第一報を公表し、対象顧客へ個別メール連絡を開始した。10月7日に機能改修完了と利用企業側での個保委報告案内を含む第二報を公表。外部専門機関（GMOサイバーセキュリティ byイエラエ株式会社）の調査完了を受け、10月30日15時に漏えい対象の確定値（2,492社・45,030人）や経緯、再発防止策をまとめた第三報を公表した。
- 当局対応
- 個人情報保護委員会（2026年9月16日時点で報告済み、2026年11月12日に確報提出予定。また利用企業側にも個保委への報告が必要であるとして案内を実施）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開領域と非公開データ保管領域の厳密な分離と原則非公開設計 | 静的コンテンツ（ロゴ画像等）配信用ストレージと業務データ・一時ファイル保管用ストレージをアカウントやバケット単位で物理的・論理的に分離し、データ用ストレージはデフォルトでパブリックアクセスを完全ブロック（Block Public Access）に設定する。 |
| 一括処理・一時ファイルに対する署名付きURLと自動消滅ライフサイクルの適用 | エクスポートファイルやエラーファイル等のダウンロードには、1時間など短い有効期限を付与した署名付きURL（Pre-signed URL）を使用し、ストレージのライフサイクルポリシーにより数日〜数週間で自動削除される仕組みを実装する。 |
| クラウドストレージの外部一覧表示（ListBucket）の制限と設定監視 | クラウドストレージのバケットポリシーおよびIAM設定において、不特定多数（匿名ユーザー）によるバケット一覧取得（ListBucket/GetObject listing）権限を明示的に禁止し、CSPMや定期スクリプトにより公開設定を常時監視・アラート通知する体制を構築する。 |
| 脆弱性診断・ペネトレーションテストにおけるクラウドインフラ・ストレージの網羅 | アプリケーション診断やOS/サーバー診断だけでなく、クラウド設定監査（CSPM/CIEM）やオブジェクトストレージ、CDNの設定状態をセキュリティ診断の定期スコープに明示的に組み込む。 |
自組織などでの確認項目
- 自社が利用するクラウドストレージ（S3やCloud Storageなど）で、パブリック公開設定が意図せず有効になっている領域や、外部からのオブジェクト一覧取得（ListBucket）が可能な領域が存在しないか棚卸しと確認を行っているか。
- 業務システムの一括登録・出力機能で生成されるCSV等のひな形やエラーログ、一時ファイルが、公開ストレージや有効期限のない固定URL配下に保存されていないか確認しているか。
- 定期的な脆弱性診断や侵入テスト（ペネトレーションテスト）の実施範囲に、WebアプリケーションやOSだけでなく、連携するクラウドストレージやCDN、APIゲートウェイの設定が含まれているか確認しているか。
未解明点
- 2021年6月7日以前のアクセスログが残っていなかった期間において、第三者によるファイル取得や情報漏えいが実際に発生していたかどうかの実態。
出典
- 1株式会社アドウェイズ2026-10-30公式本文確認済
- 2セカヤサAIブログ2026-10-12報道本文確認済
- 3blog.b-son.net2026-09-16報道本文確認済
- 4ひまなねこのひまつぶし2026-11-01報道本文確認済
- 5Into the Program2026-10-31報道本文確認済
- 6ここからブログ2026-10-31報道本文確認済
- 7GMOグローバルサイン株式会社2026-09-16公式本文確認済
- 8GMOグローバルサイン株式会社2026-10-07公式本文確認済
- 9GMOグローバルサイン株式会社2026-10-30公式本文確認済
- 10セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-31報道本文確認済
- 11GMOグローバルサイン株式会社公式本文確認済
- 12日本経済新聞2026-11-01報道本文確認済