GMOグローバルサインは2026年10月30日、ID管理・シングルサインオンサービス「GMOトラスト・ログイン」で起きた情報漏えいの調査結果（第三報）を発表しました。
設定の不備により、お客様の情報を含むファイルが長期間にわたって外部から取得できる状態になっており、対象は2,492社・45,030人です。
この記事では、対象になる人の範囲、漏れた項目と含まれない情報、自分が対象か確かめる方法、問い合わせ先をまとめます。
- 対象は2,492社・45,030人。ファイルが第三者に取得されていたことを確認済み
- 漏れたのはメールアドレス、氏名、連携サービス名、社員番号・所属など。請求先の担当者は住所・電話番号も
- パスワード、多要素認証の情報、決済情報は含まれない
- 対象の企業には、管理者あてに個別の連絡がある
GMOトラスト・ログインの情報漏えいで何が起きたか
GMOトラスト・ログインは、GMOグローバルサインが提供するID管理・シングルサインオンサービスです。
シングルサインオンは、1回のログインで複数のサービスを使えるようにする仕組みです。
GMOグローバルサインは、サービスのロゴ画像などを配信するため、ストレージの一部を外部から閲覧できる公開領域として使っていました。
この公開領域に、お客様の情報を含むファイルも保管していました。
ファイルの一覧を見れば、個別のファイルを取得できる状態だったため、第三者がファイルを閲覧・取得できました。
外部専門機関（GMOサイバーセキュリティ byイエラエ）がアクセス記録を調べた結果、ファイルが第三者に取得されていたことが確認されました。
GMOグローバルサインは、不正な目的で取得されたおそれがあると判断しています。
外部からの攻撃ではなく設定の不備が原因
GMOグローバルサインは第一報で、本件は外部からの攻撃やシステムへの侵入によるものではなく、同社の設定と設計の不備によるものだと説明しています。
原因になったのは、ロゴ配信用の公開領域に、お客様情報を含む一時ファイルが保存される設計だったことです。
その公開領域はファイルの一覧を外部から取得でき、ファイルのリンクに署名や有効期限もありませんでした。
定期的な診断・侵入テストはアプリケーションとサーバーが対象で、ファイルを保管するストレージは対象外だったため、長いあいだ気づけませんでした。
GMOトラスト・ログインのファイルが取得できた期間は約8年10か月
ファイルが外部から取得できる状態にあったのは、2017年11月14日頃から2026年9月15日までです。
2017年11月14日頃、ロゴ画像の配信負荷への対策として、ストレージをロゴ配信用の公開領域に変えたときから、この状態になっていました。
アクセス記録で取得を確認できたのは、2021年6月8日から2026年9月15日までです。
2021年6月7日以前はアクセス記録が残っておらず、取得されたかどうかは確認できません。
GMOグローバルサインは、この期間も取得されたおそれがある期間として扱っています。
発覚から第三報までの経緯
本件は、2026年9月14日17時48分に、同社の脆弱性報告制度を通じて外部のセキュリティ研究者から報告を受けて分かりました。
発覚から第三報までの主な流れは次のとおりです。
| 日付 | できごと |
|---|---|
| 2026年9月14日 | 外部のセキュリティ研究者から報告を受け、判明 |
| 9月14日23時45分頃〜9月15日16時 | 外部からのファイル取得を段階的に遮断 |
| 9月16日 | 第一報を掲載。対象企業の管理者への個別の連絡を開始 |
| 10月7日 | 第二報を掲載。個人情報保護委員会への報告に関する案内の送付を開始 |
| 10月23日 | 外部専門機関による調査が完了 |
| 10月30日 | 第三報（調査結果）を掲載 |
第一報では、報告を受けた9月14日中に遮断したと説明していましたが、第三報で9月14日23時45分頃から9月15日16時にかけて段階的に遮断したと訂正しました。
第一報の暫定値は2,007社・37,747人で、第三報で2,492社・45,030人に増えています。
初回の調査のあと、調査対象のファイルの不足と判定条件の誤りが分かり、追加で調べたためです。
請求送付先の担当者の情報が取得された企業と、所属する企業を特定できない管理者アカウントも、新たに対象に含めました。
GMOトラスト・ログインの情報漏えいの対象は2,492社・45,030人
対象の内訳は、どのファイルに情報が含まれていたかで分かれます。
人数はメールアドレスの重複を除いて数えたものです。
| 区分 | 企業 | 人数 |
|---|---|---|
| 一括操作で作成されたファイルに個人情報が含まれていた | 2,184社 | 44,836人 |
| 上記以外で、請求送付先の担当者の情報が取得された | 217社 | 194人 |
| 管理者アカウントの削除などで企業を特定できない | 91社 | – |
| 合計 | 2,492社 | 45,030人 |
対象になるのは一括操作のファイルに含まれていた人
対象かどうかは、第三者に取得されたファイルに情報が含まれていたかで決まります。
公開領域に保管されていたのは、管理者が管理画面で一括操作をしたときにシステムが作ったファイルと、GMOグローバルサインの契約情報ファイルです。
一括操作のファイルは、次の3種類です。
- カスタム属性の一括登録で作られたひな形ファイルとエラーファイル
- パスワードの一括代理設定で作られたひな形ファイルとエラーファイル
- メンバー登録（一括追加）で作られたエラーファイル
これらのファイルに名前やメールアドレスが入っていた人が、対象の44,836人です。
GMOトラスト・ログインの情報漏えいで漏れた項目と含まれない情報
漏れた項目は、ファイルの種類によって違います。
住所と電話番号が項目に挙げられているのは、契約情報ファイルの請求送付先の担当者だけです。
| ファイル | 含まれていた情報 |
|---|---|
| 一括操作で作成されたファイル | メールアドレス、氏名、対象アプリ名（連携サービス名）、カスタム属性値（社員番号、所属など、企業が独自に設定した項目） |
| 契約情報ファイル | 企業ID、ライセンス数、利用状況、解約日。請求送付先の担当者の氏名、住所、電話番号、メールアドレス |
ログインに使うパスワード、秘密の質問と回答、多要素認証の情報、シングルサインオンする各サービスのパスワード、クレジットカードなどの決済情報は含まれていません。
GMOトラスト・ログインの情報漏えいの対象か確かめる方法
個人が自分で対象かどうかを調べる方法は、11月1日時点では公式に案内されていません。
GMOグローバルサインは、対象の企業の管理者に個別に連絡し、利用中のメンバーにも内容を共有するよう求めています。
勤務先でGMOトラスト・ログインを使っている人は、社内の情報システム担当や、GMOトラスト・ログインの管理者に、自分が対象に含まれるかを確認しましょう。
会社の管理者がすること
対象になった企業は、GMOグローバルサインに加えて、自社でも個人情報保護委員会への報告が必要になります。
この報告に関する案内は、2026年10月7日から順次、対象の企業にメールで送られています。
案内のメールが見当たらない管理者や、本件について聞きたいことがある管理者は、下の問い合わせ窓口に連絡します。
GMOトラスト・ログインを装った不審な連絡への注意点
取得された情報を悪用し、GMOグローバルサインを装った第三者から、メールや電話で不審な連絡が来る可能性があります。
契約の更新、ライセンスの超過、アカウントの確認などを理由に、IDやパスワードの入力、送金を求める連絡には注意してください。
GMOグローバルサインが、メールや電話でパスワードなどの認証情報を聞くことはありません。
心当たりのない連絡は、メール内のURLや添付ファイルを開かず、返信もしないでください。
判断に迷ったら、GMOトラスト・ログインの相談窓口に問い合わせます。
今できることのチェックリスト
勤務先でGMOトラスト・ログインを使っている人が、確かめておけることを並べます。
- 社内の情報システム担当に、自分が対象に含まれるかを聞く
- GMOトラスト・ログインや連携サービスを名乗るメールのURL・添付ファイルを開かない
- メールや電話でパスワード・ワンタイムコードを聞かれても答えない
- 契約更新やライセンス超過を理由にした送金の依頼は、社内で確認してから対応する
- 本物か迷う連絡は、公式サイトに載っている窓口で確かめる
2026年10月30日時点で、本件が原因の二次被害の報告は確認されていません。
GMOトラスト・ログインの問い合わせ先と今後の予定
本件の相談は、GMOグローバルサインのGMOトラスト・ログイン お客様窓口で受け付けています。
窓口は電話とお問い合わせフォームの2つで、電話番号と受付時間は第三報のお知らせの最後に載っています。
問い合わせが集中しており、返答に時間がかかる場合があります。
再発防止策と個人情報保護委員会への確報
GMOグローバルサインは、2026年11月12日に個人情報保護委員会へ確報を出す予定です。
第三報で調査結果の報告は最終となり、今後は再発防止策の実施状況をお知らせサイトで報告します。
すでに、ダウンロード用のリンクを署名つき・有効期限1時間のものに切り替え、お客様情報を含むファイルの削除や、すべての保存場所の常時監視を済ませています。
これからの対策は原則2026年11月30日までに実施し、ファイルを扱う処理の共通部品化だけは2027年1月31日が期日です。
実施状況は対策がすべて終わるまで毎月報告され、初回は2026年11月30日の予定です。
見舞金などの補償については、11月1日時点では公式に発表されていません。
GMOトラスト・ログインの情報漏えいは社内の担当者に対象か確認を
GMOトラスト・ログインでは、2017年11月14日頃から2026年9月15日まで、お客様の情報を含むファイルが外部から取得できる状態で、2,492社・45,030人の情報が第三者に取得されていました。
漏れたのは主にメールアドレス、氏名、連携サービス名、社員番号や所属で、パスワードや決済情報は含まれていません。
勤務先で使っている人は、社内の担当者に自分が対象かを確かめ、GMOグローバルサインを装った不審な連絡に注意しましょう。
