トップ ＞ 社会

SSOサービスで4.5万人分漏えい、氏名や所属など約9年取得可能に

内容

企業向けのシングルサインオン（SSO）サービスで、顧客情報を含むファイルが外部から取得できる状態になっていたことが分かりました。外部のセキュリティ研究者から9月に報告を受けて発覚し、10月30日に調査完了を受けた最終的な対象範囲が公表されています。

漏えいした情報と件数

対象は利用企業2492社、合わせて4万5030人分です。漏えいしたファイルは大きく2種類に分かれます。

1つ目は、利用企業の管理者が管理画面で一括操作をしたときにシステムが自動で作ったファイルです。パスワードの一括代理設定やカスタム属性の一括登録で作られたひな形ファイルとエラーファイル、メンバーを一括追加した際のエラーファイルが該当します。中身はメールアドレス、氏名、連携しているサービスの名前、社員番号や所属といったカスタム属性の値で、2184社・4万4836人分が対象です。

2つ目は、サービス提供元との契約情報をまとめたファイルです。企業ID、ライセンス数、利用状況、解約日に加え、請求書の送付先担当者の氏名・住所・電話番号・メールアドレスが記載されていました。この担当者情報が取得された企業は217社で、1つ目のファイルと重ならない人数は194人です。また、91社については、管理者アカウントがすでに削除されているといった事情から、どの企業なのかを特定できていません。

一方で、ログイン用のパスワード、秘密の質問とその答え、多要素認証に関する情報、SSOで連携する各サービスのパスワード、クレジットカードなどの決済情報は含まれていないと説明されています。

取得できた期間と実際の取得

外部から取得できた期間は、2017年11月14日ごろから、取得を遮断した2026年9月15日までの約9年間とされています。第三者による取得の記録をログで確認できたのは2021年6月8日以降で、それより前はログが残っておらず、取得があったかどうかは確かめられていません。ただし、この期間の分も対象に含めています。調査では第三者による取得が確認され、不正な目的だったおそれがあると判断されています。

対象の人数は、9月16日の第一報で示された暫定値から増えました。初回の調査で対象ファイルが足りなかったことと、判定の条件に誤りがあったことが後から分かり、追加で調べ直したためです。

なぜ外部から見えていたのか

2017年11月ごろ、ロゴ画像の配信負荷を下げる目的で、保存先のストレージがロゴ配信用の公開領域に切り替えられました。その同じ場所に一括操作のファイルや契約情報ファイルも置かれていたため、ファイルの一覧をたどれば個々のファイルを入手できる状態でした。ファイルのリンクには署名も有効期限も付いていませんでした。契約情報ファイルがなぜ公開領域に置かれていたのかは説明されていません。定期的な診断や侵入テストは行われていましたが、ファイルを保管するストレージはその範囲に入っておらず、長く気付かれなかったとされています。

現在の状態と利用者がすべきこと

外部からのファイル取得は、報告を受けた9月14日の夜中から翌日の夕方までに止められました。現在は、ダウンロード用のリンクが署名付きで1時間で失効する形式に変わり、どの保存場所でもファイル一覧を外部から見られないようになっています。対象となった企業や個人が具体的に何をすべきかについては、現時点で明らかになっていません。

注目ポイント

漏えいしたのは社員番号や所属、利用している連携サービス名など、企業の内部の情報に近いもので、多くの企業の従業員が関わる点に関心が集まっています。ログで確かめられない期間が4年近くあり、その間に誰が取得したのかが分からないままになっている点も注目されています。第一報から件数が増えた経緯もあり、被害の全容がこれで確定するのかも焦点の一つです。

ネットでの反応

ネット上では、ログインの入り口を担うシングルサインオンのサービスで起きたことを深刻に受け止める声が目立ちます。顧客ファイルを公開領域に置いた作りそのものを疑問視する声や、組織のセキュリティへの姿勢を問う意見も多く見られます。一方で、隠さずに公表した点は評価できるという受け止めもあります。利用を見直すべきか迷う声も出ています。報道は漏えいした情報の種類や件数を詳しく伝えていますが、ネット上の関心は流出した中身よりも、なぜこのような設計になったのかという点に向いている傾向があります。

参考記事

• ロゴ画像用の公開領域に顧客ファイルも保存 GMO系シングルサインオン、4.5万人分漏えい　2026年11月2日 10:59

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。