2026年9月16日(水)の第一報、10月7日(水)の第二報でお知らせいたしました、GMOトラスト・ログインにおけるお客様情報の漏えいについて、調査結果をご報告いたします。
GMOトラスト・ログインにおいて、当社の設定の不備により、お客様からお預かりしていた情報を含むファイルが、長期間にわたり外部から取得できる状態となっておりました。
お客様の信頼を裏切る結果となりましたことを、深くお詫び申し上げます。対象となったお客様には、ご不安に加え、社内でのご確認や個人情報保護委員会へのご報告などのご負担をおかけしまして、誠に申し訳ございません。
本報では、外部専門機関による調査の完了を受け、判明した対象のお客様の件数、原因と再発防止策、今後のご報告の予定をお知らせいたします。あわせて、本件の情報を悪用した不審な連絡へのご注意を、改めてお願いいたします。
■ お客様へのお願い
取得された情報を悪用し、当社を装った第三者から、メールや電話などで不審な連絡が行われる可能性がございます。次の点にご注意ください。
- 契約の更新、ライセンスの超過、アカウントの確認などを理由に、IDやパスワードの入力、送金などを求める連絡にはご注意ください。
- お心当たりのない連絡を受け取られた場合は、メール内のURLや添付ファイルを開かず、返信もしないでください。判断に迷われた場合は、■9のご相談窓口までご連絡ください。
- 管理者様におかれましては、ご利用中のメンバーの皆様にも、本内容をご共有いただけますようお願いいたします。
当社からお客様に、メールや電話でパスワードなどの認証情報をお伺いすることはございません。
■ 1. 第一報からの変更点
■ 2. 発生した事象
2026年9月14日(月)17:48、当社の脆弱性報告制度を通じて、外部のセキュリティ研究者から報告を受け、本件が判明しました。
当社は、サービスのロゴ画像などを配信するため、ストレージの一部を、外部から閲覧できる公開領域として使用していました。この公開領域に次のファイルも保管しており、ファイル一覧を参照すれば、個別のファイルを取得できる状態になっていました。
- 管理者様が管理画面で一括操作を行った際に、当社のシステムが作成したファイル
- カスタム属性一括登録、パスワードの一括代理設定：ひな形ファイルとエラーファイル
- メンバー登録（一括追加）：エラーファイル
- 当社の契約情報ファイル
外部からのファイル取得は、9月14日(月)23:45頃から段階的に遮断し、9月15日(火)16:00までにすべて遮断いたしました。現在は取得できません。
外部専門機関（GMOサイバーセキュリティ byイエラエ株式会社）がアクセス記録を調査した結果、これらのファイルが第三者に取得されていたことを確認しました。不正な目的で取得されたおそれがあると判断しております。
■ 3. 外部から取得できる状態にあった期間
- 取得できる状態にあった期間：2017年11月14日(火)頃～2026年9月15日(火)
- アクセス記録で取得を確認した期間：2021年6月8日(火)～2026年9月15日(火)
2017年11月14日頃、ロゴ画像の配信負荷への対策として、当社がストレージを、外部から閲覧できるロゴ配信用の公開領域に変更しました。この時点から、ファイルが外部から取得できる状態になったと判断しております。
2021年6月7日以前はアクセス記録が残っておらず、取得の有無を確認できません。このため、この期間も取得されたおそれがある期間として扱います。
■ 4. 対象となるお客様（調査で判明した件数）
企業：合計2,492社
- 一括操作で作成されたファイルに含まれる個人情報が取得された企業：2,184社
- 上記以外で、請求送付先ご担当者様の情報が取得された企業：217社
- 管理者アカウントの削除などにより、企業を特定できないもの：91社
人数：合計45,030人
- 一括操作で作成されたファイルに含まれる方：44,836人
- 上記以外で、請求送付先ご担当者様：194人
※人数は、メールアドレスの重複を除いて数えています。
※当社と外部専門機関のいずれかの分析で、第三者に取得されたと判定されたファイルのうち、個人情報を含むものを対象にしました。
第一報から件数が増えた理由
初回の調査の後、調査対象のファイルの不足と判定条件の誤りが判明したため、追加調査を行いました。また、請求送付先ご担当者様の情報が取得された企業と、所属する企業を特定できない管理者アカウントを、新たに対象に含めました。
含まれていた情報
| 一括操作で作成されたファイル | メールアドレス、氏名、対象アプリ名（連携サービス名）、カスタム属性値（社員番号、所属など、お客様が独自に設定された項目） |
|---|---|
| 当社の契約情報ファイル | 企業ID、ライセンス数、ご利用状況、解約日。請求送付先ご担当者様の氏名、ご住所、お電話番号、メールアドレス |
※GMOトラスト・ログインへのログインに用いるパスワード、秘密の質問・回答および多要素認証の情報、シングルサインオンする各サービスへのパスワード、ならびにクレジットカードなどの決済情報は含まれておりません。
■ 5. 原因と再発防止策
今回の原因
- ロゴ配信用の公開領域に、お客様情報を含む一時ファイルが保存される設計になっていました。
- その公開領域はファイルの一覧を外部から取得でき、ファイルのリンクに署名や有効期限もなかったため、第三者がファイルを閲覧・取得できる状態でした。
- 定期的な診断・侵入テストはアプリケーションとサーバーが対象で、ファイルを保管するストレージは対象外だったため、長いあいだ気づくことができませんでした。
これを受けて、次の3つの観点で対策を見直しました。あわせて、万一に備えて「ファイルを残さない」ための強化も行います。
- 設計：原則非公開の構成
- 確認：開発工程での事前確認
- 点検：外部診断と常時監視
実施済みの対策
ファイル取得の遮断、ファイルの削除、ファイル一覧の表示の停止は、計画に沿って順に実施しました。
- 2026年9月14日～15日お客様情報を含むファイルがあった公開領域への外部からのファイル取得を、段階的に遮断しました（■2）。
- 2026年9月16日ファイルのダウンロード用のリンクを、署名つき・有効期限1時間のものに切り替えました。
- 2026年9月24日保存場所に残っていた、お客様情報を含むファイルを削除しました。
- 2026年9月25日該当の保存場所で、ファイル一覧を外部から取得できないようにしました。
- 2026年9月30日ファイルを扱うすべての機能について、保存先・公開範囲・個人情報の有無・削除方法を点検しました。
- 2026年10月2日当社が利用するすべての保存場所を棚卸しし、用途と公開状況を把握しました。
- 2026年10月2日保存場所の設定を常時監視し、問題があれば当社のセキュリティ監視チームに自動で通知する仕組みを導入しました。
- 2026年10月6日すべての保存場所で、ファイル一覧を外部から取得できないようにしました。
これから実施する対策
① 設計：原則非公開の構成
- ロゴ画像など公開が必要なものは、配信専用の仕組みを通した提供に限定し、決められた種類のファイルしか置けないようにします。
② 確認：開発工程での事前確認
- ファイルを扱う機能を設計するときは、データの種類・保存先・アクセス方法・保存期間・削除方法の確認を必須とします。
- プログラムを変更するたびに、ソースコードの安全性を自動で確認します。見つかったリスクは、重要度に応じて期限を決めて対応します。
- リリースのたびにセキュリティテストを行い、ファイルへの不正なアクセスができないことを確認します。
③ 点検：外部診断と常時監視
- 公開領域に、置いてはいけないファイルがないかを自動で確認します。
- 外部の専門機関によるクラウド環境の診断で確認された事項のうち、優先して対応するものは2026年11月30日までに、それ以外も順次対応します。
- 継続して実施：外部の専門機関による診断を、年2回行います。対象をWebアプリケーション、クラウド環境全体、外部に公開しているすべての資産に広げます。
④ 残さない：追加の強化
- お客様情報を含むファイルや処理途中の一時ファイルについて、データの種類ごとに保存期間を決め、期限が過ぎたものは自動で削除します。
- ファイルを扱う処理を共通の部品にまとめ、保存先・アクセス方法・削除の手順を統一します。新しく作る機能では、この部品の利用を必須とします（この項目のみ2027年1月31日）。
①〜④の対策は、2026年11月30日までに実施いたします。ただし、各項目に別の期日や進め方を記載したものは、その記載のとおりです。
■ 6. これまでの経緯
- 2026年9月14日(月)17:48当社の脆弱性報告制度を通じて、外部のセキュリティ研究者から報告を受け、本件が判明
- 2026年9月14日(月)23:45頃～9月15日(火)16:00外部からのファイル取得を段階的に遮断
- 2026年9月16日(水)第一報を掲載。対象となったお客様の管理者様への個別のご連絡を開始
- 2026年9月20日(日)～10月23日(金)外部専門機関による、アクセス記録の調査と設定の診断
- 2026年10月7日(水)続報（第二報）を掲載。個人情報保護委員会への報告に関するご案内の送付を開始
- 2026年10月23日(金)外部専門機関による調査が完了
- 2026年10月30日(金)第三報（本お知らせ）を掲載
- 2026年11月12日(木)（予定）個人情報保護委員会に確報を提出
■ 7. 二次被害の状況
2026年10月30日時点で、本件に起因する二次被害の報告は確認されておりません。
■ 8. 今後のご報告について
本お知らせをもって、本件の調査結果のご報告は最終となります。再発防止策の実施状況と、その後のセキュリティの取り組みについては、お知らせサイトで継続してご報告いたします。
- 再発防止策の実施状況：すべての対策が完了するまで、毎月、■5の対策のうち完了したものの数と、完了した対策の内容・完了日をご報告いたします。完了した対策がない月も、その旨をご報告いたします。初回は2026年11月30日を予定しております。すべての対策が完了した時点で、本お知らせでお約束した対策を一つずつ振り返り、ご報告いたします。
- セキュリティの年次報告：毎年12月に、外部専門機関による診断の実施状況と結果、社内の定期点検と教育の実施状況、翌年度の実施予定などをご報告いたします。
■ 9. 本件に関するご相談窓口
- お問い合わせフォーム：https://trustlogin.com/contact/
- 電話：03-4545-2303 受付時間:10:00～18:00（土日祝日除く）
本件に関するお問い合わせが集中し、ご返答までにお時間をいただく場合がございます。あらかじめご了承ください。
お客様からお預かりした情報を守ることは、ID管理サービスを提供する当社にとって最も基本的な責任です。その責任を果たせなかったことを重く受け止め、■5の再発防止策を、期日を記載したものはその期日までに、それ以外も順次実施いたします。
このような事態を招きましたことを、重ねて深くお詫び申し上げます。
お問い合わせ
ご質問や不明な点などございましたら、下記よりお問い合わせください。
- お問い合わせフォーム ： https://trustlogin.com/contact/
- Tel：03-4545-2303 受付10:00～18：00（土日祝日除く）