速報：GMOの社員ID管理サービス「GMOトラスト・ログイン」、2492社・4万5030人分の情報が外部から取得される 設定の不備で約9年取得可能に
企業向けの社員ID管理サービス「GMOトラスト・ログイン」で、提供元の設定の不備により、顧客から預かっていた情報を含むファイルが長期間にわたり外部から取得できる状態になっていました。2026年10月30日の第三報で、外部専門機関の調査結果として公表しています。共同通信によると、提供元はGMOインターネットグループ子会社で認証事業を手がけるGMOグローバルサインです。
取得できる状態だったのは2017年11月14日頃から2026年9月15日まで。2026年9月14日に、脆弱性報告制度を通じて外部のセキュリティ研究者から報告を受けて判明しました。アクセス記録で第三者による取得を確認できたのは2021年6月8日以降で、それ以前は記録が残っておらず、取得の有無は確認できないとしています。同社は不正な目的で取得されたおそれがあると判断しています。
何が変わるか： 対象は暫定値の2007社・3万7747人から、2492社・4万5030人に更新されました。含まれていたのはメールアドレス、氏名、連携サービス名、社員番号や所属などの項目です。ログイン用のパスワード、多要素認証の情報、シングルサインオン先のパスワード、クレジットカードなどの決済情報は含まれていません。原因は、ロゴ配信用の公開領域に顧客情報を含む一時ファイルが保存される設計だったことで、定期的な診断の対象にそのストレージが入っていなかったため、長い間気づけなかったとしています。
誰に効くか： GMOトラスト・ログインを導入している企業の管理者と社員。同社を装って、契約の更新やアカウントの確認などを理由にIDやパスワードの入力、送金を求める連絡に注意するよう呼びかけています。同社からメールや電話でパスワードなどを尋ねることはないとしています。