[ITmedia News] ロゴ画像用の公開領域に顧客ファイルも保存 GMO系シングルサインオン、4.5万人分漏えい

著者 岡田有花

[ITmedia]

　GMOグローバルサインは10月30日、シングルサインオンサービス「GMOトラスト・ログイン」の設定不備による情報漏えいで、利用企業2492社・4万5030人分の氏名やメールアドレスなどが対象になったと発表した。

　顧客情報を含む一時ファイルなどを、ロゴ画像と同じ公開領域に保存する設計になっていたことで、約9年間にわたり外部から取得できる状態だったことが原因。

原因（ニュースリリースより）

　今後は、ロゴ画像など公開が必要なものは配信専用の仕組みを通して提供し、決められた種類のファイルしか置けないようにする他、外部専門機関による診断範囲を広げるといった再発防止策を採る。

「ロゴ画像の配信負荷対策」で設定ミス　脆弱性報告制度がきっかけ

　発覚のきっかけは、9月14日、脆弱性報告制度を通じて、外部のセキュリティ研究者から報告を受けたこと。外部からのファイル取得は、同日夜中から翌日夕方までにすべて遮断した。

　原因は、2017年11月14日ごろ、ロゴ画像の配信負荷への対策として、ストレージをロゴ配信用の公開領域に変更したこと。

　この公開領域に、管理者が管理画面で一括操作をした際にシステムが作成したファイルや、同社の契約情報ファイルも保管しており、ファイル一覧を参照すれば、個別のファイルを取得できる状態になっていた。ファイルのリンクには、署名や有効期限もなかった。

　このため、17年11月14日ごろから、外部からのファイル取得を遮断した26年9月15日まで、ファイルを外部から取得できる状態だったと判断している。

　第三者による取得をログで確認できたのは21年6月8日以降。それ以前はログが残っておらず、取得の有無は確認できていないが、対象に含めた。

　定期的な診断・侵入テストを行っていたものの、アプリケーションとサーバが対象で、ファイルを保管するストレージは対象外だったため、長い間気付けなかったという。

管理者による一括操作時、システムが自動生成したファイルが公開領域に

　漏えいしたのは二系統のファイル。一つは、利用企業の管理者が、管理画面で一括操作を行った際に、同社システムが作成したファイルだ。

　具体的には、管理者がパスワードを一括代理設定したり、カスタム属性を一括登録した際に、同社システムが作成したひな形ファイルやエラーファイルが対象。加えて、管理者がメンバーを一括追加した際にできたエラーファイルも対象になった。

　これらのファイルには、メールアドレスや氏名、対象アプリ名（連携サービス名）、社員番号や所属などのカスタム属性値が含まれており、2184社・4万4836人分が対象になった。

企業ID、ライセンス数、利用状況、解約日なども

　もう一つは、同社との契約情報ファイルだ。企業ID、ライセンス数、利用状況、解約日と、請求送付先担当者の氏名、住所、電話番号、メールアドレスが含まれていた。契約情報ファイルが公開領域に保存されていた経緯は説明されていない。

　請求送付先担当者の情報が取得された企業は217社。人数は194人分（一括操作ファイルの対象と重複しない分）。このほか、管理者アカウントの削除などで企業を特定できないものが91社ある。

　ログインに使うパスワード、秘密の質問・回答、多要素認証の情報、シングルサインオンする各サービスへのパスワード、クレジットカードなどの決済情報は含まれていない。

「外部専門機関」であるイエラエが調査

　GMOサイバーセキュリティ byイエラエによる調査で、ファイルが第三者に取得されていたことを確認し、不正な目的で取得されたおそれがあると判断している。同社はイエラエを「外部専門機関」としているが、同じGMOグループだ。

　今回の発表は、「外部専門機関」による調査完了を受けた第三報。対象件数は、9月16日の第一報で示した暫定値から増えた。初回の調査後に調査対象ファイルの不足と判定条件の誤りが判明し、追加調査をしたためという。

対策は……ファイル一覧の外部公開禁止、保存先や削除方法も確認へ

　対策として、ダウンロード用のリンクを署名付き・有効期限を1時間のものに切り替え、すべての保存場所でファイル一覧を外部から取得できないようにした。

　今後は、ロゴ画像など公開が必要なものは、配信専用の仕組みを通した提供に限定し、決められた種類のファイルしか置けないようにする他、ファイルを扱う機能の設計時には、データの種類や保存先、削除方法などの確認を必須化する。

　置いてはいけないファイルが公開領域にないかも自動で確認。外部専門機関による診断で確認された事項は順次対応する他、専門機関による診断をクラウド環境全体などに広げ、年2回行う。

　顧客情報を含むファイルは、データの種類ごとに保存期間を決めて自動で削除する。ファイルを扱う処理は共通の部品にまとめ、保存先・アクセス方法・削除の手順を統一。新しく作る機能では、この部品の利用を必須にする。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。