GMOトラスト・ログインで4万5030人分の情報が漏えい

GMOグローバルサインが運営する「GMOトラスト・ログイン」で、顧客ファイルが外から取得できる状態になっていました。対象は2492社・4万5030人分です。

何が起きたか

GMOトラスト・ログインは、会社の社員が使う各種サービスへのログインをまとめて管理するサービスです。顧客情報を含むファイルが、外から取得できる状態になっていました。

9月の最初の発表は2007社・3万7747人でした。10月30日の第三報（3回目の発表）で、2492社・4万5030人に増えました。最初の調査は調べるファイルが足りず、判定条件にも誤りがあったためです。大半の2184社・4万4836人は、管理画面の一括操作で作られたファイル由来です。

原因は保存場所の設定

原因は、ハッカーの侵入ではなく保存場所の設定の甘さです。2017年11月ごろ、ロゴ画像を配る負担を減らすために保存場所を一般公開にし、以来およそ9年その状態が続きました。

管理画面の操作で作られる一時ファイルや契約情報のファイルも、同じ場所に置かれる作りでした。中身の一覧は外から見られ、ダウンロード用のリンクには本人確認の印も有効期限もありませんでした。

漏れた情報と漏れていない情報

漏れた可能性があるのは、メールアドレス、氏名、連携しているサービスの名前、社員番号や所属などです。契約情報のファイルには、請求書の送り先担当者の氏名・住所・電話番号も入っていました。企業ID、ライセンス数、利用状況、解約日も含まれます。

ログインパスワード、多要素認証の情報、決済情報は含まれないと同社は説明しています。サイバーセキュリティ.comによると、二次被害は10月30日時点で確認されていません。人数はメールアドレスの重複を除いた数です。

発覚の経緯と再発防止

きっかけは、9月14日に外部のセキュリティ研究者から届いた報告です。同社は夜から翌日にかけて、外からの取得を段階的に止めました。実際に取られたと記録で確認できたのは2021年6月8日以降です。それ以前は記録が残っておらず、取られた恐れがあるものとして扱っています。

9年近く気づけなかった理由を、各社は次のように伝えています。定期診断がアプリとサーバーだけを対象にし、ファイルの保管場所が漏れていたためです。同社はリンクに1時間の有効期限をつけ、残っていたファイルを消し、一覧を外から見えなくしました。外部診断は年2回に増やし、ほとんどの対策を11月30日までに終える予定です。

導入企業への影響と問い合わせ

導入企業は、個人情報保護委員会への報告が必要になる場合があります。innovatopiaによると、案内は10月7日から順にメールで送られています。同社は同委員会への最終報告を11月12日に出す予定です。ただし導入企業の期限は、各社が事態を知った日から数えるため、全社共通ではありません。

会社から本人への通知も原則必要で、連絡が難しい場合は代わりの措置をとる扱いがあります。独自の項目（カスタム属性）を設定していた会社は、その中身も含まれた可能性があります。問い合わせは、同社のフォームか電話（03-4545-2303、平日10〜18時）で受け付けています。