GMOトラスト・ログイン、4.5万人分の情報漏えい 公開領域に保存

GMOグローバルサインは10月30日、シングルサインオンサービス「GMOトラスト・ログイン」の設定不備により、利用企業2492社・4万5030人分の氏名やメールアドレスなどが漏えい対象になったと発表した。

約9年間、外部から取得可能に

原因は、顧客情報を含む一時ファイルなどをロゴ画像と同じ公開領域に保存する設計だったこと。2017年11月ごろ、ロゴ画像の配信負荷対策でストレージを公開領域に変更した際、管理者の一括操作で生成されたファイルや契約情報ファイルも同じ場所に置かれた。ファイル一覧から個別に取得でき、リンクに署名や有効期限もなかった。

発覚は9月14日、脆弱性報告制度を通じた外部研究者の報告による。外部からの取得は同日夜から翌日夕方までに遮断した。第三者による取得をログで確認できたのは2021年6月8日以降で、それ以前はログがないものの対象に含めた。定期診断はアプリとサーバが対象で、ストレージは外れていたという。

漏えいした情報

一つは一括操作時に作成されたひな形・エラーファイルで、メールアドレス、氏名、連携サービス名、社員番号などが含まれ、2184社・4万4836人分。もう一つは契約情報ファイルで、企業ID、ライセンス数、請求送付先担当者の氏名・住所・電話番号などが含まれ、217社・194人分（重複除く）が該当した。パスワード、多要素認証情報、決済情報は含まれないとしている。

今回は第三報で、9月16日の暫定値から件数が増えた。初回調査で対象ファイルの不足と判定条件の誤りが判明したためで、調査はGMOグループのGMOサイバーセキュリティ byイエラエが行った。

再発防止策

ダウンロードリンクは署名付き・有効期限1時間に変更し、ファイル一覧の外部取得も不可にした。今後は公開が必要なものを配信専用の仕組みに限定し、保存期間を決めた自動削除、診断範囲のクラウド全体への拡大（年2回）を行う。