2026年10月末、GMOグローバルサインが提供するシングルサインオン「GMOトラスト・ログイン」で、利用企業およそ2,492社・約4万5,030人分の情報が漏えい対象になったと発表がありました。ロゴ配信用の公開ストレージに、顧客情報を含む一時ファイルや契約関連ファイルが置かれ、約9年近く外部から取得できる状態だった、という内容です。
パスワードや決済情報は含まれていないとされていますが、氏名・メールアドレス・連携サービス名・社員番号や所属などの属性、請求送付先の連絡先などが対象に含まれます。第三者による取得も確認されており、なりすましや不審な連絡への注意が呼びかけられています。
この記事では、公式発表の要点を整理したうえで、同じ系統の事故を自社で起こしにくくするための対策を、開発・運用の目線でまとめます。アイキャッチにはペンゾーも登場しています。公開フォルダの警告を指差す役です。
何が起きたか（要点）
発覚のきっかけは、2026年9月14日に脆弱性報告制度へ届いた外部研究者からの報告です。同社はロゴ画像などを配信するため、ストレージの一部を外部から閲覧できる公開領域として使っていました。その領域に、管理画面の一括操作でシステムが作るひな形・エラーファイルや、契約情報ファイルも保存されていた、と説明されています。
公開領域ではファイル一覧も参照でき、個別ファイルへのリンクに署名や有効期限がなかったため、第三者が一覧からファイルを辿って取得できる状態でした。取得できる状態にあった期間は2017年11月頃から2026年9月15日までとされ、アクセス記録で取得を確認できたのは2021年6月8日以降です。それ以前のログは残っておらず、取得の有無は確認できない一方、対象期間には含める扱いです。
定期的な診断や侵入テストはアプリケーションとサーバーが中心で、ファイルを置くストレージが対象外だったため、長いあいだ気づけなかった、という反省も公式に書かれています。一次情報は、GMOトラスト・ログインの第三報と、報道各社の整理を参照してください。
この事故が示す「よくある設計の穴」
大きな教訓は、「公開してよいもの」と「一時でも置いてはいけないもの」を、同じ置き場に混ぜたことです。ロゴのような静的アセットと、顧客データを含むエクスポート／エラーファイルは、公開範囲も寿命も違います。配信負荷の対策でストレージを公開にしたとき、その副作用として一時ファイルまで見える状態になった、という流れは、他社のクラウドでも起き得ます。
もう一つは、診断範囲の抜けです。アプリの画面やAPIを見ていても、オブジェクトストレージのバケット公開設定、ディレクトリリスティング、署名なしURLを見ていなければ、同じ盲点になります。バックアップ、ログ、請求PDF、一括CSVなど、「システムが自動で置くファイル」ほど、担当者の目から外れやすいです。
漏えい対象にパスワードが入っていなくても、氏名とメール、利用サービスの組み合わせは、フィッシングや偽サポートの材料になります。「決済情報は無いから軽い」とは限りません。
自社で先に点検したいセキュリティ対策
特別な製品がなくても、次の点検から進められます。
- 公開バケット／CDN／画像配信領域に、顧客CSV・エラーログ・契約PDFが混ざっていないか
- オブジェクトストレージで「一覧が外部から取れる」設定になっていないか
- ダウンロードURLに署名と短い有効期限があるか（推測可能な直リンクだけになっていないか）
- 一時ファイルの保存期間と自動削除があるか。残しっぱなしのエクスポートが無いか
- 診断の対象に、アプリだけでなくストレージ／バックアップ／ログ置き場が入っているか
- 本番の公開設定変更を、監視や通知で検知できるか
設計の段階では、「公開が必要なものだけ配信専用の経路に乗せる」「顧客データを含むファイルは原則非公開」「置くなら寿命と削除方法を必須にする」をルールにすると事故が減ります。一括インポートのエラーファイルも、管理者本人だけが取れる場所に限定します。
運用では、クラウドの棚卸しを定期的にします。用途ごとの保存場所、公開の有無、個人情報の有無、削除方法を一覧にするだけで、今回のような「ロゴ用の公開領域に別用途が混ざる」状態に気づきやすくなります。新機能のリリース前に、ファイルの保存先レビューをチェックリストへ入れるのも有効です。
漏えい後に現場がやること
自社や利用サービスの漏えいが判明したときは、技術の穴埋めと並行して、人向けの注意も必要です。公式が案内しているように、契約更新やアカウント確認を装ったメール・電話でのID／パスワード入力や送金要求には応じない、見覚えのないURLや添付を開かない、判断に迷ったら公式窓口へ確認する、といった基本が効きます。
社内では、管理者アカウントの棚卸し、パスワードの使い回し確認、多要素認証の必須化、委託先アカウントの回収をセットで進めるとよいです。漏えいした情報が氏名とメール中心でも、別経路で盗まれたパスワードと組み合わさると被害が広がります。
個人情報保護委員会への報告が必要になるケースもあるため、契約しているSaaSのインシデント連絡を見落とさない運用（窓口の明確化、社内の一次連絡先）も準備しておくと慌てにくいです。
まとめ
GMOトラスト・ログインの事案は、「公開ストレージに顧客関連ファイルが混ざる」「一覧と直リンクで辿れる」「ストレージが診断対象外」という、クラウド時代に繰り返し出るパターンです。自社では、公開領域の棚卸し、署名付きURL、一時ファイルの寿命、診断範囲の拡大から手を付けると効果が大きいです。
一次情報は、GMOトラスト・ログイン公式の第三報（2026年10月30日）を優先して確認してください。件数や期間の訂正も公式側にまとまっています。
Makoto Tejimaでは、公開ストレージの棚卸し、ファイル配信の設計、管理画面まわりの認証強化を含めた、セキュアなWeb／業務システムの相談を受けています。ご相談ください。