【情報漏洩】GMOのID管理サービスで顧客情報が外部取得可能に

GMOグローバルサインは10月30日、ID管理サービス「GMOトラスト・ログイン」で、顧客情報を含むファイルが外部から取得できる状態にあったとの調査結果を発表した。対象は2,492社・4万5,030人分で、9月16日の第一報で示した暫定値の2,007社・3万7,747人分から増えた。

同サービスは、社内システムのIDやパスワードを一元管理するもの。ロゴ画像などの配信用公開領域に顧客情報を含む一時ファイルも保存され、外部からファイルの一覧を取得できる設計だったとされる。リンクには署名や有効期限がなかった。

取得可能な状態は2017年11月14日頃から2026年9月15日まで続いた。アクセス記録で取得を確認した期間は2021年6月8日から2026年9月15日までで、それ以前は記録がなく、取得の有無を確認できないとしている。外部からの取得は9月14日夜から段階的に遮断し、9月15日16時までにすべて遮断した。

対象のファイルには氏名やメールアドレス、連携サービス名、社員番号や所属などの属性値が含まれた。契約情報や請求書送付先担当者の連絡先も対象となった一方、パスワードや多要素認証情報、決済情報は含まれない。10月30日時点で二次被害の報告は確認されていない。

同社は、署名と有効期限を付けたリンクへの切り替えや残存ファイルの削除などを進めている。利用者には、契約更新などを装ってIDやパスワードの入力、送金を求める不審な連絡に注意するよう呼びかけている。