GMOグローバルサイン：「GMOトラスト・ログイン」の顧客ファイルが外部から取得可能に

1. 2017-11-14

   ロゴ画像の配信の負荷を下げるため、ストレージの一部を外部から見られる公開領域に変えた。顧客情報を含むファイルもそこに置かれ、ファイルの一覧から個別のファイルを取れる状態になった。 [1]

2. 2021-06-08

   アクセスの記録で第三者による取得を確認できるのはこの日以降。それより前は記録がなく、取得された可能性がある期間として扱う。 [1]

3. 2026-09-14

   17時48分、脆弱性報告制度を通じて外部の研究者から報告を受けた。23時45分ごろから翌15日16時にかけて、ファイルの取得を段階的に止めた。 [1]

4. 2026-09-16

   第一報を出し、対象企業の管理者への連絡を始めた。 [1]

5. 2026-10-23

   GMOサイバーセキュリティ byイエラエによるアクセス記録の調査と設定の診断が終わった。 [1]

6. 2026-10-30

   15時の第三報で、件数を2,007社・3万7,747人から2,492社・4万5,030人に改め、原因と再発防止策を示した。調査結果の報告はこれが最後としている。 [1] [2]

管理者が一括操作をしたときにシステムが作ったファイルと、同社の契約情報のファイルが取得された。2,184社の利用者44,836人のメールアドレス、氏名、連携するアプリの名前、社員番号や所属などの独自の項目と、217社の請求先担当者194人の氏名、住所、電話番号、メールアドレスが含まれる。ほかに91社は管理者アカウントの削除などで企業を特定できない。ログインのパスワード、多要素認証の情報、連携先サービスのパスワード、決済の情報は含まれない。 [1] [2]

原因は、顧客情報を含む一時ファイルをロゴ配信用の公開領域に置く設計と、署名や有効期限のないファイルのリンク、ストレージを対象から外していた定期診断にあったとしている。ファイルを消し、すべての保存場所で一覧を外から取れないようにし、設定の常時監視を入れた。対策は原則2026年11月30日までに実施し、一時ファイル処理の共通化は2027年1月31日までとした。11月12日に個人情報保護委員会に確報を出す予定。 [1]