会社向けの ID 管理サービス「GMOトラスト・ログイン」の運営会社は10月30日、利用企業の情報が外部から取得できる状態になっていた問題の第三報を出し、対象を2,492社・4万5,030人とした。9月の第一報と10月の第二報で示していた暫定値の2,007社・3万7,747人から増えている。
GMOトラスト・ログイン お知らせ（第三報・10月30日：件数・原因・含まれる情報・窓口・今後の予定）news_trustlogin
このサービスは、会社が従業員のログインをまとめて管理するための道具だ。対象になった人の多くは、自分で契約した覚えのない勤め先の利用者にあたる。自分が対象かを知る道筋が、通販サイトの漏えいとは違う。
何が、いつから見えていたか
第三報によると、運営会社はロゴ画像を配信するために、ストレージの一部を外部から閲覧できる公開領域として使っていた。そこに、管理者が管理画面で一括操作をしたときにシステムが作るファイルと、同社の契約情報ファイルも置かれていた。ファイルの一覧を見れば個別のファイルを取得でき、リンクには署名も有効期限もなかった。
取得できる状態にあったのは2017年11月14日頃から2026年9月15日まで。アクセス記録で取得を確認できたのは2021年6月8日以降で、それより前は記録が残っておらず、取得されたおそれがある期間として扱う。9月14日に外部のセキュリティ研究者からの報告で判明し、9月15日16時までに取得を遮断した。外部の専門機関の調査で、ファイルが第三者に取得されていたことを確認し、不正な目的で取得されたおそれがあると判断している。
長く気づけなかった理由も書かれている。定期的な診断や侵入テストはアプリケーションとサーバーが対象で、ファイルを保管するストレージは対象外だった。
含まれていた情報と、含まれていない情報
含まれていた情報は2種類ある。
- 一括操作で作られたファイル：メールアドレス、氏名、対象アプリ名（連携サービス名）、社員番号や所属など企業が独自に設定した項目
- 契約情報ファイル：企業 ID、ライセンス数、利用状況、解約日、請求送付先の担当者の氏名・住所・電話番号・メールアドレス
一方で、ログイン用のパスワード、秘密の質問と回答、多要素認証の情報、シングルサインオンでつながる各サービスのパスワード、クレジットカードなどの決済情報は含まれていないとしている。
パスワードは漏れていない。ただ、ある人がどの会社に属し、どのサービスを使っているかという組み合わせはそろう。偽の連絡を本物らしく作る材料としては、それで足りてしまう。運営会社も、契約の更新やライセンスの超過、アカウントの確認を口実に ID やパスワードの入力、送金を求める連絡に注意するよう呼びかけている。同社がメールや電話でパスワードなどの認証情報を尋ねることはないという。10月30日時点で、本件に起因する二次被害の報告は確認されていない。
自分が対象かを確かめる道筋
対象企業の管理者には、9月16日から個別の連絡が始まっている。従業員の立場では、勤め先の情報システムの担当者に、自社が対象かどうかを聞くのが近道だ。運営会社は管理者に対し、利用中のメンバーへの共有を依頼している。
難しいのは、社内でその共有が届いていない場合だ。対象の期間は2017年からと長く、いまは辞めた勤め先で使っていたサービスが関わっている可能性もある。その場合、問い合わせる先そのものを探すところから始まる。
運営会社の相談窓口は、お問い合わせフォームと電話（03-4545-2303、平日10時〜18時）。判断に迷う連絡を受けたら、メール内の URL や添付ファイルを開かず、返信もしないよう案内している。
確かめられる次の一点は、運営会社のお知らせサイトだ。11月12日に個人情報保護委員会へ確報を出す予定で、11月30日には再発防止策の進み具合を月次で報告する初回が予定されている。
ことば
- シングルサインオン：一度ログインすれば、つながっている複数のサービスを追加のログインなしで使える仕組み。会社では、従業員が使うクラウドサービスの入口を一本にまとめる目的で使われる。
- 多要素認証：パスワードに加えて、スマートフォンに届く確認コードなど別の手段を組み合わせて本人を確かめる方法。今回、その情報は対象外とされている。
勤め先から届く「アカウント確認」のメールを、あなたは何で本物だと見分けているだろうか？
