「GMOトラスト・ログイン」で2492社・4万5030人の情報漏えい、設定不備でファイルが公開領域に

　GMOグローバルサイン株式会社は10月30日、ID管理・シングルサインオンサービス「GMOトラスト・ログイン」における情報漏えいについて、外部専門機関による調査結果を公表した。

　本件は9月14日、同社の脆弱性報告制度を通じて、外部のセキュリティ研究者から報告を受けて判明した。同社は9月16日に第1報、10月7日に第2報を公表しており、10月23日に外部専門機関による調査が完了したことを受け、第3報として対象件数や原因、再発防止策などを公表した。

　同社では、サービスのロゴ画像などを配信するため、ストレージの一部を、外部から閲覧できる公開領域として使用していた。この公開領域には、管理者が管理画面で一括操作を行った際にシステムが作成したひな形ファイルやエラーファイルと、同社の契約情報ファイルが保管されており、ファイル一覧を参照すれば、個別のファイルを取得できる状態になっていたという。

　外部専門機関（GMOサイバーセキュリティ byイエラエ株式会社）がアクセス記録を調査した結果、これらのファイルが第三者に取得されていたことが確認されたという。同社は、不正な目的で取得されたおそれがあると判断したとしている。

　ファイルが外部から取得できる状態にあった期間は、2017年11月14日頃～2026年9月15日。2021年6月7日以前はアクセス記録が残っておらず、取得の有無を確認できないといい、この期間も取得されたおそれがある期間として扱うとしている。

　対象となる企業は合計2492社で、人数は合計4万5030人。漏えいしたファイルに含まれていた情報は次の通り。

• 一括操作で作成されたファイル
  メールアドレス、氏名、対象アプリ名（連携サービス名）、カスタム属性値（社員番号、所属など、利用者が独自に設定した項目）
• GMOグローバルサインの契約情報ファイル
  企業ID、ライセンス数、利用状況、解約日。請求送付先担当者の氏名、住所、電話番号、メールアドレス

　今後、原則非公開の構成への見直し、開発工程での事前確認、外部診断の対象拡大、一時ファイルの自動削除などの再発防止策に取り組むとしている。実施状況は全ての対策が完了するまで毎月報告するとしており、初回は11月30日を予定している。