GMOグローバルサインで4万5030人分の情報漏えい: 9年間外部から取得可能だった設定ミスとは

GMOインターネットグループ傘下のGMOグローバルサインは、法人向けの認証サービスで顧客企業などの計4万5030人分の個人情報が漏えいしたと発表しました。対象は計2492社に上ると報じられています。設定ミスにより、約9年間にわたり外部から情報が取得できる状態が続いていたという点が、今回の出来事をとくに重くしています。

何が起きたのか

漏えいがあったのは、企業が従業員などのIDを管理し、一度の認証で複数のサービスにログインできるようにするサービス「GMOトラスト・ログイン」です。報道によると、サービスのロゴ画像などを提供するために外部から閲覧できるようにしていた記憶装置の中に、本来置くべきではなかった個人情報を含むファイルが保管されていたといいます。設定ミスが原因とみられています。

ファイルは2017年11月から2026年9月までの約9年間、外部から取得できる状態だったと報じられています。2026年9月に外部のセキュリティー研究者からの指摘で発覚しました。同社の関連会社が調査したところ、少なくとも2021年6月以降、第三者が情報を取得していたことが判明したといいます。それ以前については、記録が残っておらず確認できていないと報じられています。

漏えいした情報と漏えいしなかった情報

報道によると、漏えいしたのは氏名やメールアドレス、連携するサービス名のほか、所属や社員番号などです。クレジットカードなどの決済情報は含まれていないとしています。氏名とメールアドレスの組み合わせだけでも、なりすましメールや問い合わせを装った連絡に悪用されるおそれがあります。そのため、漏えいした情報の種類が限られていても、油断はできません。

とくに注意したいのは、所属や社員番号が含まれていた点です。社内の人間を装う連絡は、ふだんの業務連絡と見分けがつきにくいことがあります。差出人の表示名だけを見て判断せず、社内の正式な連絡手段で確認する習慣が大切です。

なぜ9年間も気づかれなかったのか

設定ミスが長期間放置されたことについて、同社は定期的な診断や侵入テストを行ってきたものの、ファイルを保管するストレージは対象外だったためと説明したと報じられています。ここから読み取れる教訓は、点検の範囲そのものを見直す必要があるという点です。重要なシステムだけを点検していても、画像配信用など一見地味な置き場所に個人情報が紛れ込んでいれば、穴は残ります。

企業にとってのチェックポイントは、個人情報を置いてよい場所と置いてはいけない場所を明確に分けることです。外部から閲覧できる場所には、個人情報を含むファイルを一切置かない運用を徹底します。さらに、外部公開用の置き場所も定期点検の対象に含め、誰がいつ何を置いたかを確認できる記録を残すことが重要です。記録が残っていなければ、今回のように「それ以前は確認できない」という事態になります。

利用者と企業が今すぐ確認すること

まず、利用者側の対応です。GMOトラスト・ログインを利用している企業から連絡が来た場合は、その案内に従ってください。身に覚えのないパスワード変更の案内や、サービス名をかたったメールが届いた場合は、メール内のリンクをそのまま開かず、公式サイトや社内の窓口から確認します。同じパスワードをほかのサービスでも使い回している場合は、できるだけ早く変更し、利用できるサービスでは二段階認証を有効にします。

次に、企業側の対応です。対象となった企業には、対象者への連絡や問い合わせ対応が求められます。漏えいした情報の範囲、影響を受ける人の数、今後の再発防止策を整理し、わかりやすく伝えることが信頼回復の第一歩です。社内では、外部公開用のストレージに個人情報が置かれていないかを改めて総点検し、点検対象から漏れていた置き場所がないかを確認します。

報道によると、2026年10月30日時点で、漏えいによる二次被害の報告は確認されていないといいます。とはいえ、二次被害が今後まったく起きないと断言はできません。しばらくの間は、不審なメールや電話、SMSに注意し、少しでも違和感があれば社内の情報システム担当や公式窓口に相談するのが安全です。

別のGMOの出来事と混同しないために

GMOインターネットグループを巡っては、傘下の別の企業が提供する外国為替証拠金取引に関連するサービスが不正アクセスを受け、情報漏えいしたことが2026年10月に判明したと報じられています。今回のトラスト・ログインの漏えいは、設定ミスが原因とされる別の出来事です。同じグループ名が出てくるため混同しやすいのですが、サービスも原因も異なります。連絡を受け取った場合は、どのサービスの話なのかをまず確認してください。

また、GMOはサイバー攻撃に先手を打って被害を防ぐ「能動的サイバー防御」の適用を政府に緊急要請していると報じられています。2026年11月2日には記者会見が開かれ、熊谷正寿会長兼社長が一連の経緯や顧客への対応、今後の方針などを説明するとみられています。会見の内容によっては、対象範囲や再発防止策の詳細がさらに明らかになる可能性があります。

政府の動きと今後の見通し

GMOのほかにも、サイバー攻撃による大規模な情報漏えいが相次いでいることを受け、政府は今週内をめどに緊急対策パッケージを取りまとめ、公表する予定だと報じられています。個人情報の漏えいが続く中で、企業に求められる安全管理の水準は上がっています。今回の出来事は、攻撃者による侵入だけでなく、設定ミスという内部の運用ミスも大きな漏えいにつながることを示しました。

読者として覚えておきたいのは、便利な認証の仕組みほど、ひとつのミスが多くの人に影響するという点です。シングルサインオンのように一度のログインで多くのサービスに入れる仕組みは便利ですが、情報を扱う側の管理が甘ければ、影響範囲は広がります。利用者としてはパスワードの使い回しを避け、二段階認証を使うこと、企業としては公開範囲の点検を欠かさないことが、現実的な備えになります。

Frequently Asked Questions

今回の漏えいで、クレジットカード情報も漏えいましたか

報道によると、クレジットカードなどの決済情報は含まれていないとしています。漏えいしたと報じられているのは、氏名やメールアドレス、連携するサービス名のほか、所属や社員番号などです。ただし、氏名とメールアドレスだけでもなりすましメールに使われるおそれがあるため、不審な連絡には注意してください。

自分が対象かどうかは、どうすればわかりますか

GMOトラスト・ログインを利用している企業の従業員や関係者が対象になる可能性があります。対象となった企業から連絡が来るのが基本的な流れです。連絡が来ていないのに不安な場合は、勤務先や利用サービスの窓口に、対象に含まれているかどうかを確認するのが確実です。メール内のリンクから個人情報を入力するのではなく、公式の窓口から問い合わせてください。

9年間も外部から見られていたのに、なぜ今になって発覚したのですか

報道によると、2026年9月に外部のセキュリティー研究者からの指摘で発覚しました。同社は定期的な診断や侵入テストを行ってきたものの、ファイルを保管するストレージは対象外だったためと説明したと報じられています。点検の範囲に漏れがあったことが、長期間の放置につながったとみられます。少なくとも2021年6月以降は第三者による取得が確認されており、それ以前は記録が残っておらず確認できていないといいます。