GMOトラスト・ログイン、顧客情報が9年近く取得可能に【2026年10月】

2026年10月30日、GMOグローバルサインは、ID管理サービス「GMOトラスト・ログイン」で、設定の不備により、利用企業から預かった情報を含むファイルが外部から取得できる状態になっていた問題の調査結果（第三報）を発表しました。取得できる状態は2017年11月14日頃から2026年9月15日まで、9年近く続いていました。

【重要】GMOトラスト・ログインにおけるお客様情報の漏えいに関するお詫びとお知らせ（第三報）

対象は2,492社・45,030人です。中身は社員のメールアドレス・氏名、社員番号や所属などで、ログインパスワードやSSOする各サービスのパスワード、決済情報は含まれていないとしています。外部からの攻撃ではなく自社の設定と設計の不備が原因で、企業の情報システム担当者と社員の両方が、偽の連絡への備えを求められるという位置づけです。

GMOトラスト・ログインの情報漏えいとは？一言でまとめると

一言でいうと、ロゴ画像を配信するための「誰でも見られる保存場所」に、顧客情報を含むファイルも置いていたため、第三者がファイルを取得できたという事案です。

GMOトラスト・ログインは、企業向けのID管理・シングルサインオン（SSO）サービスです。SSO は、一度ログインすれば、Microsoft 365 や Google Workspace など複数のクラウドサービスを続けて使える仕組みのことです。公式サイトによると、社内システムやクラウドサービスのID・パスワードの一元管理や、多要素認証による認証の強化もできます。

第一報は、本件は外部からの攻撃やシステムへの侵入によるものではなく、同社の設定と設計の不備によると説明しています。一方で、調査を担った外部専門機関の分析から、ファイルは第三者に取得されており、不正な目的で取得されたおそれがあると判断しています。

何が起きた？ロゴ配信用の公開領域にファイルを保管

同社は、サービスのロゴ画像などを配信するため、ストレージの一部を外部から閲覧できる公開領域として使っていました。この公開領域に、次のファイルも保管していたといいます。

• 管理者が管理画面で一括操作をしたときに、システムが作ったファイル
• カスタム属性一括登録、パスワードの一括代理設定：ひな形ファイルとエラーファイル
• メンバー登録（一括追加）：エラーファイル
• 同社の契約情報ファイル

公開領域はファイルの一覧を外部から見られる設定で、一覧をたどれば個別のファイルを取得できる状態でした。

取得できる状態になったのは、2017年11月14日頃です。ロゴ画像の配信負荷への対策として、ストレージをロゴ配信用の公開領域に変えた時点からとされています。

アクセス記録で第三者による取得を確認できたのは2021年6月8日以降です。2021年6月7日以前は記録が残っておらず、取得の有無は確かめられません。同社はこの期間も取得されたおそれがある期間として扱うとしています。

対象は2,492社・45,030人

第三報で、対象は第一報の暫定値（2,007社・37,747人）から増えて、2,492社・45,030人になりました。内訳は次のとおりです。

人数はメールアドレスの重複を除いて数えています。件数が増えたのは、初回の調査のあとに調査するファイルの不足と判定条件の誤りが分かって追加で調べたことと、請求送付先の担当者や、企業を特定できない管理者アカウントを新たに対象に含めたためです。

含まれていた情報・含まれていない情報

第三報によると、取得されたファイルに含まれていた情報は、ファイルの種類によって違います。

• 一括操作で作られたファイル：メールアドレス、氏名、対象アプリ名（連携サービス名）、カスタム属性値（社員番号、所属など、利用企業が独自に設定した項目）
• 契約情報ファイル：企業ID、ライセンス数、利用状況、解約日。請求送付先の担当者の氏名・住所・電話番号・メールアドレス

含まれていないとされているのは、次の情報です。

• GMOトラスト・ログインにログインするためのパスワード
• 秘密の質問・回答と多要素認証の情報
• シングルサインオンする各サービスへのパスワード
• クレジットカードなどの決済情報

つまり、この情報だけでログインされるような認証情報は含まれていません。ただし、どの会社の、誰が、どのサービスを使っているかが分かる情報は含まれています。

経緯：9月14日の報告から第三報まで

本件は、同社の脆弱性報告制度を通じた、外部のセキュリティ研究者からの報告で分かりました。

第三報では、第一報の内容を2点訂正しています。

• 遮断の時期：第一報の「報告を受けた9月14日中に遮断」は誤りで、正しくは9月14日（月）23:45頃から9月15日（火）16:00にかけて段階的に遮断した
• 期間：第一報の「2017年11月以降、外部から取得されていたことを確認」は誤りで、正しくは2017年11月以降は取得できる状態にあり、取得を確認できたのは2021年6月8日以降

10月7日の第二報では、利用企業にも個人情報保護委員会への報告が必要になるため、対象の企業に報告の案内を順次メールで送り始めたと説明しています。同社は11月12日（木）に個人情報保護委員会へ確報を出す予定です。

原因と再発防止策

第三報は、原因を次の3つにまとめています。

• ロゴ配信用の公開領域に、顧客情報を含む一時ファイルが保存される設計だった
• 公開領域はファイルの一覧を外部から取得でき、ファイルのリンクに署名や有効期限もなかった
• 定期的な診断・侵入テストはアプリケーションとサーバーが対象で、ストレージは対象外だったため、長い間気づけなかった

すでに行った対策は次のとおりです。

今後は、①原則非公開の構成、②開発工程での事前確認、③外部診断（年2回）と常時監視、④ファイルを残さない仕組み（保存期間を決めて自動削除）を進めます。①〜④は2026年11月30日までに行い、ファイル処理の共通部品化だけは2027年1月31日が期日です。

自分の会社は対象？利用者と管理者がやること

第一報・第二報・第三報の案内をもとに整理します。

① 対象かどうかは、社内の管理者に確かめる

同社は、9月16日から対象となった利用企業の管理者に個別に連絡しているとしています。社員一人ひとりに直接届く形ではないため、勤め先が GMOトラスト・ログインを使っている人は、社内の管理者（情報システム部門など）に確かめるのが近道です。

② GMOや勤め先を名乗る連絡を疑う

同社は、取得された情報を悪用して、同社を装った第三者からメールや電話で不審な連絡が来るおそれがあると注意を呼びかけています。

• 契約の更新、ライセンスの超過、アカウントの確認などを理由に、IDやパスワードの入力、送金などを求める連絡に注意する
• 心当たりのない連絡は、メール内のURLや添付ファイルを開かず、返信もしない
• 判断に迷ったら、同社の相談窓口に連絡する

同社は、メールや電話でパスワードなどの認証情報を尋ねることはないと明言しています。今回は氏名・所属・使っているサービス名も含まれるため、本物らしく見える連絡が届き得ると考えておくのが安全です。

③ 管理者は社内に共有し、報告の案内を確かめる

同社は、管理者に利用中のメンバーにも注意の内容を共有するよう求めています。また、対象の企業には個人情報保護委員会への報告に関する案内をメールで送っているため、届いた案内の内容を確かめる必要があります。

漏えいの連絡を受けたときの一般的な対処は、IPA の案内を紹介した記事にまとめています。

あわせて読みたい

免許証画像が漏えいしたら？IPAが対処法を公開【2026年10月】

問い合わせ先と今後の報告

本件の問い合わせ先は、GMOトラスト・ログインの相談窓口です。問い合わせが集中し、返答に時間がかかる場合があるとしています。

第三報で、調査結果の報告は最終です。今後は、再発防止策の実施状況を毎月（初回は2026年11月30日の予定）、セキュリティの取り組みを毎年12月に、お知らせサイトで報告するとしています。

IT Picks的な所感

今回の件で重いのは、9年近くという期間の長さと、ID管理サービスという性質です。パスワードは含まれていないとはいえ、どの会社の誰が、どのサービスを使っているかが分かる情報は、その会社の社員を狙った本物らしい偽メールの材料になり得ます。社員番号や所属が入っていた企業は、社内向けの注意喚起を早めに出したいところだと思います。

原因の説明はかなり具体的です。「診断の対象にストレージが入っていなかった」という反省は、クラウドを使う多くの企業にも当てはまる話です。一方で、件数と期間を第三報で訂正・更新したことは、対応を見直す負担を利用企業に生んでいます。毎月の報告で、約束した対策がどこまで進むかを見ていきたいところです。

10月は国内で、企業向けサービスからの情報漏えいの発表が相次いでいます。メール配信サービスのアララ メッセージでも、利用企業が持つメールアドレス約301万件の流出が発表されました。

あわせて読みたい

アララ メッセージに不正アクセス、メアド約301万件流出【2026年10月】

楽天証券でも、特典付き社債の手続きに使う外部システムから購入者の情報が漏えいした可能性が発表されています。

あわせて読みたい

楽天証券、特典付き社債の購入者情報が漏えいか【2026年10月】

まとめ

GMOトラスト・ログインの情報漏えいのポイントをまとめます。

• 発表日：2026年10月30日（第三報。第一報は9月16日、第二報は10月7日）
• 原因：ロゴ配信用の公開領域に顧客情報を含むファイルを保管していた設定・設計の不備（同社の説明）
• 取得できる状態だった期間：2017年11月14日頃〜2026年9月15日
• 取得を確認した期間：2021年6月8日〜2026年9月15日
• 対象：2,492社・45,030人
• 含まれていた情報：メールアドレス、氏名、連携サービス名、社員番号・所属など／請求送付先の担当者の氏名・住所・電話番号・メールアドレスなど
• 含まれない情報：ログインパスワード、秘密の質問・回答、多要素認証の情報、SSOする各サービスへのパスワード、決済情報
• やること：対象かは社内の管理者に確認、GMOを名乗る連絡を疑う、管理者は社内に共有
• 問い合わせ先：03-4545-2303（10:00〜18:00、土日祝日を除く）、お問い合わせフォーム

勤め先が GMOトラスト・ログインを使っている人は、社内の管理者に対象かどうかを確かめ、しばらくは「契約更新」「アカウント確認」をうたう連絡を疑うようにしましょう。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。