GMOトラスト・ログインの情報漏えい｜2,492社・45,030人 公開ストレージの設定不備 管理者が確かめること 2026

「GMOトラスト・ログイン 情報漏洩」として調べられている件は、ID管理とシングルサインオンのサービス「GMOトラスト・ログイン」を運営するGMOグローバルサイン株式会社が、2026年9月16日に第一報を出し、10月30日の第三報で調査結果をまとめたものです。 同社の設定と設計の不備により、利用企業の情報を含むファイルが長期間にわたって外部から取得できる状態になっており、第三者に取得されていたことが確認されました。 対象は企業が2,492社、人数が45,030人で、含まれていたのはメールアドレス、氏名、連携しているアプリの名前、社員番号や所属などの項目です。 ログインのパスワード、多要素認証の情報、クレジットカードなどの決済情報は含まれていないと発表されています。

まずすることは3つです。 1つ目は、利用企業の管理者が、同社から届いた個別のメールを探し、自社が対象かを確かめることです。 2つ目は、対象だった場合に、自社から個人情報保護委員会への報告が必要かを、同社の案内と委員会の公式ページで確かめることです。 3つ目は、社員全員に「トラスト・ログインや情報システム部門を名乗る、パスワードの入力や送金を求める連絡に応じない」と伝えることです。

この記事では、GMOトラスト・ログインのお知らせサイトに載った3本の公式発表に書かれている事実だけをもとに、対象の範囲、原因、管理者と社員がそれぞれすることを順に整理します。 報道で出ている数字や推測は使っていません。 時点はすべて2026年10月31日です。

GMOトラスト・ログインとはどんなサービスか

GMOトラスト・ログインは、会社で使う複数のクラウドサービスに、1つのIDでまとめてログインできるようにするサービスです。 このような仕組みをシングルサインオンと呼びます。 シングルサインオンとは、社員が一度ログインすれば、メール、チャット、会計ソフトなど連携しているほかのサービスにも、改めてパスワードを入れずに入れるようにする仕組みのことです。 会社の情報システム部門から見ると、社員のアカウントの追加や削除、どの社員にどのサービスを使わせるかを、1つの管理画面でまとめて扱えるのが利点です。

運営しているのはGMOグローバルサイン株式会社で、お知らせサイトのフッターには「© 2007- GMO GlobalSign K.K.」と書かれています。 お知らせのページでは、自社のサービスを「ID 管理・シングルサインオンサービス」と説明しています。

同じ「GMO」の名前が付いていても、2026年10月に話題になっているGMOインターネット株式会社のサービスをめぐる別の事案とは、運営する会社も原因も異なります。 この記事で扱うのは、GMOグローバルサインのGMOトラスト・ログインの件だけです。 検索結果で両方が並ぶことがあるので、記事やニュースを読むときは、どの会社のどのサービスの話かを最初に確かめてください。

利用者は大きく2種類に分かれます。 1つは、会社としてGMOトラスト・ログインを契約し、管理画面を操作している管理者（情報システム担当や総務の担当者）です。 もう1つは、その会社の社員として、毎日のログインに使っているメンバーです。 今回の件は、管理者が管理画面で行った操作で作られたファイルが関わっているため、管理者とメンバーで、することが違います。 この記事も、後半で2つに分けて書いています。

公表の経緯（第一報、続報、第三報）

GMOトラスト・ログインは、この件について3本のお知らせを出しています。 最初の第一報は2026年9月16日 17:00、続報（第二報）は10月7日 16:30、第三報は10月30日 15:00の掲載です。 第三報には「本お知らせをもって、本件の調査結果のご報告は最終となります」と書かれています。 2026年10月31日時点で、お知らせサイトの一覧に第三報より新しい続報や訂正は見当たりません。

それぞれの報で分かったことは、次のとおりです。

報	掲載日時	分かったこと
第一報	2026年9月16日 17:00	クラウドストレージの設定不備でファイルが外部から閲覧できる状態だったこと。暫定値で2,007社・37,747人。個人情報保護委員会へ報告済み
続報（第二報）	2026年10月7日 16:30	原因となった機能の改修を完了。利用企業にも個人情報保護委員会への報告が必要となるため、案内のメールを順次送付
第三報	2026年10月30日 15:00	外部専門機関の調査が完了。2,492社・45,030人に更新。期間、原因、再発防止策、今後の報告の予定を公表

第三報には、9月14日の報告から11月12日の予定までの経緯も載っています。

日付	第三報に書かれている経緯
2026年9月14日(月) 17:48	同社の脆弱性報告制度を通じて、外部のセキュリティ研究者から報告を受け、判明
2026年9月14日(月) 23:45頃から9月15日(火) 16:00	外部からのファイル取得を段階的に遮断
2026年9月16日(水)	第一報を掲載。対象の管理者への個別の連絡を開始
2026年9月20日(日)から10月23日(金)	外部専門機関によるアクセス記録の調査と設定の診断
2026年10月7日(水)	続報（第二報）を掲載。個人情報保護委員会への報告に関する案内の送付を開始
2026年10月23日(金)	外部専門機関による調査が完了
2026年10月30日(金)	第三報を掲載
2026年11月12日(木)（予定）	個人情報保護委員会に確報を提出

脆弱性報告制度とは、外部の研究者が見つけた弱点を、会社に直接知らせられるように用意された窓口のことです。 今回は、その窓口に届いた報告がきっかけで判明しました。

第三報では、第一報の内容のうち2点を訂正しています。 1点目は遮断の時期です。 第一報では報告を受けた9月14日中に遮断したと書かれていましたが、正しくは9月14日23:45頃から9月15日16:00にかけて段階的に遮断した、と改められました。 2点目は期間の書き方です。 第一報の「2017年11月以降、外部から取得されていたことを確認」は、正しくは「2017年11月以降は外部から取得できる状態にあり、アクセス記録で取得を確認できたのは2021年6月8日以降」と改められています。 第一報だけを読んで社内に説明している場合は、第三報の内容で言い直す必要があります。

対象の件数（第三報の内訳）

第三報で公表された件数は、企業が合計2,492社、人数が合計45,030人です。 内訳は次のとおりです。

区分	件数
一括操作で作成されたファイルに含まれる個人情報が取得された企業	2,184社
上記以外で、請求送付先の担当者の情報が取得された企業	217社
管理者アカウントの削除などにより、企業を特定できないもの	91社
企業の合計	2,492社
一括操作で作成されたファイルに含まれる人	44,836人
上記以外で、請求送付先の担当者	194人
人数の合計	45,030人

人数は、メールアドレスの重複を除いて数えたと書かれています。 同じ人が複数の会社のファイルに入っていても、メールアドレスが同じなら1人として数えている、という意味です。 また、同社と外部専門機関のどちらかの分析で、第三者に取得されたと判定されたファイルのうち、個人情報を含むものが対象です。

第一報の暫定値は2,007社・37,747人でした。 第三報で増えた理由として、同社は次の2つを挙げています。 1つは、初回の調査の後に、調査対象のファイルの不足と判定条件の誤りが分かり、追加調査をしたことです。 もう1つは、請求送付先の担当者の情報が取得された企業と、所属する企業を特定できない管理者アカウントを、新たに対象に含めたことです。

このため、第一報のあとに「自社は対象ではない」と判断していた会社でも、第三報の時点で対象に加わっている可能性があります。 9月の時点で個別のメールが届いていなかった会社の管理者も、10月以降のメールを改めて確かめてください。 企業を特定できない91社は、管理者アカウントが削除されているなどの理由で、同社から連絡先をたどれないものです。 過去にGMOトラスト・ログインを使っていて、その後に解約した会社や、担当の管理者が退職してアカウントを消した会社は、自分から窓口に問い合わせないと分からない場合があります。

含まれていた情報と、含まれていない情報

第三報は、取得されたファイルを2種類に分けて、含まれていた情報を示しています。

ファイルの種類	含まれていた情報
管理者が管理画面で一括操作をしたときに作られたファイル	メールアドレス、氏名、対象アプリ名（連携サービス名）、カスタム属性値（社員番号、所属など、利用企業が独自に設定した項目）
同社の契約情報ファイル	企業ID、ライセンス数、利用状況、解約日。請求送付先の担当者の氏名、住所、電話番号、メールアドレス

一括操作で作られたファイルとは、管理者が社員をまとめて登録したり、属性をまとめて変えたりしたときに、同社のシステムが作ったファイルのことです。 具体的には、カスタム属性一括登録とパスワードの一括代理設定のひな形ファイルとエラーファイル、メンバー登録（一括追加）のエラーファイルが挙げられています。 ひな形ファイルとは、まとめて登録するための表の型のことで、エラーファイルとは、登録に失敗した行を書き出したファイルのことです。 名前は「パスワードの一括代理設定」でも、含まれていた情報の一覧にパスワードは入っていません。

第一報では「大半は、メールアドレスのみ」と書かれていました。 人によって含まれていた項目の数は違い、社員番号や所属まで入っていた人もいれば、メールアドレスだけだった人もいる、と読めます。 自分がどの項目まで含まれていたかは、公式のお知らせでは個人ごとには分かりません。

一方で、含まれていないと明記されたものは次のとおりです。

含まれていないと明記された情報
GMOトラスト・ログインへのログインに使うパスワード
秘密の質問と回答、多要素認証の情報
シングルサインオンする各サービスへのパスワード
クレジットカードなどの決済情報

公式の注記は次の一文です。

※GMOトラスト・ログインへのログインに用いるパスワード、秘密の質問・回答および多要素認証の情報、シングルサインオンする各サービスへのパスワード、ならびにクレジットカードなどの決済情報は含まれておりません。 出典: news.trustlogin.com（第三報）

つまり、取得された情報だけで、だれかが社員になりすましてGMOトラスト・ログインや連携先のサービスにログインできる、という状態ではありません。 気をつけるべきなのは、取得された情報を手がかりにして、パスワードそのものを聞き出そうとする連絡です。 この点は、後半の社員向けの節で具体的に書きます。

外部から取得できる状態にあった期間

第三報は、期間を2つに分けて書いています。

期間の種類	期間
取得できる状態にあった期間	2017年11月14日(火)頃から2026年9月15日(火)
アクセス記録で取得を確認した期間	2021年6月8日(火)から2026年9月15日(火)

2017年11月14日頃に、ロゴ画像の配信負荷への対策として、ストレージをロゴ配信用の公開領域に変えた時点から、ファイルが外部から取得できる状態になったと同社は判断しています。 2021年6月7日以前はアクセス記録が残っておらず、取得の有無を確認できないため、この期間も取得されたおそれがある期間として扱う、と書かれています。

およそ9年にわたる期間なので、すでに退職した社員や、過去に契約していた会社の情報も含まれている可能性があります。 管理者が対象の社員を洗い出すときは、いま在籍している社員だけでなく、その期間に一括登録やエラーが出た操作の対象だった人まで広げて考える必要があります。 ただし、どの人が対象かは、同社の個別の案内に従って確かめるのが確実です。 自社の記憶や推測で範囲を決めないでください。

原因は、ロゴ配信用の公開領域にファイルを保存する設計

原因について、第一報は次のように書いています。

本件は外部からの攻撃やシステムへの侵入によるものではなく、当社の設定および設計上の不備によるものです。 出典: news.trustlogin.com（第一報）

第三報では、原因を次の3点にまとめています。

原因として書かれていること
ロゴ配信用の公開領域に、利用企業の情報を含む一時ファイルが保存される設計になっていた
その公開領域はファイルの一覧を外部から取得でき、ファイルのリンクに署名や有効期限もなかったため、第三者がファイルを閲覧、取得できる状態だった
定期的な診断と侵入テストはアプリケーションとサーバーが対象で、ファイルを保管するストレージは対象外だったため、長いあいだ気づけなかった

言葉を補います。 公開領域とは、だれでもインターネットから見られるように設定されたストレージの一部のことです。 ロゴ画像のように、もともと外部に見せるものを配信するために使われます。 今回は、その公開領域に、本来は見せるべきでない一時ファイルも保管されていました。 さらに、保存されているファイルの一覧そのものを外から取得できたため、一覧を見れば個別のファイルにたどり着ける状態だった、ということです。 署名つきのリンクとは、決められた人だけが、決められた時間内に開けるように鍵をかけたリンクのことです。 今回はその仕組みがなかったので、リンクを知った人はいつでもファイルを開けました。

外部専門機関（GMOサイバーセキュリティ byイエラエ株式会社）がアクセス記録を調べた結果、これらのファイルが第三者に取得されていたことが確認されています。 同社は「不正な目的で取得されたおそれがある」と判断している、と書いています。 だれが取得したのか、取得した人がその情報をどう使ったのかは、公式のお知らせには書かれていません。

会社の対応と再発防止策

GMOトラスト・ログインがすでに実施した対策は、第三報によると次のとおりです。

日付	実施済みの対策
2026年9月14日から15日	公開領域への外部からのファイル取得を段階的に遮断
2026年9月16日	ダウンロード用のリンクを、署名つき、有効期限1時間のものに切り替え
2026年9月24日	保存場所に残っていた、利用企業の情報を含むファイルを削除
2026年9月25日	該当の保存場所で、ファイル一覧を外部から取得できないように変更
2026年9月30日	ファイルを扱うすべての機能について、保存先、公開範囲、個人情報の有無、削除方法を点検
2026年10月2日	すべての保存場所を棚卸しし、設定を常時監視して問題があれば自動で通知する仕組みを導入
2026年10月6日	すべての保存場所で、ファイル一覧を外部から取得できないように変更

これから実施する対策は、「設計」「確認」「点検」「残さない」の4つの観点で示されています。 公開が必要なものは配信専用の仕組みを通した提供に限ること、ファイルを扱う機能の設計時に保存先や保存期間の確認を必須にすること、外部の専門機関による診断を年2回にして対象を広げること、一時ファイルに保存期間を決めて期限が過ぎたら自動で削除すること、などです。 これらは2026年11月30日までに実施するとされ、共通の部品にまとめる項目だけは2027年1月31日が期日です。

報告の予定も示されています。 再発防止策の実施状況は、すべてが完了するまで毎月報告し、初回は2026年11月30日の予定です。 完了した対策がない月も、その旨を報告するとしています。 このほか、毎年12月にセキュリティの年次報告を出すとしています。

二次被害については、2026年10月30日時点で、この件に起因する二次被害の報告は確認されていないと書かれています。 お詫びの金品や補償については、3本のお知らせのどれにも書かれていません。 漏えいのあとにお詫びが出る例と出ない例の一般的な考え方は、情報漏洩の補償はもらえるのか｜お詫び金・ポイントの例と利用者が確かめること 2026で整理しています。

自分の会社が対象かを確かめる方法（管理者向け）

自社が対象かどうかは、同社から管理者に届く個別のメールで分かる仕組みです。 第三報の経緯の表には、2026年9月16日に「対象となったお客様の管理者様への個別のご連絡を開始」とあり、10月7日には個人情報保護委員会への報告に関する案内の送付を開始したと書かれています。

管理者が確かめる順番は次のとおりです。

1. GMOトラスト・ログインの管理者として登録しているメールアドレスの受信箱を、9月16日以降の日付で検索する
2. 9月に届いていなくても、10月7日以降と10月30日以降の案内も探す（第三報で対象が増えているため）
3. 迷惑メールのフォルダと、共有の受信箱（info@ や管理者グループのアドレス）も確かめる
4. 管理者が異動や退職をしている場合は、前任者の受信箱を引き継いだ人に確かめてもらう
5. それでも分からなければ、受信したメールのリンクではなく、自分で開いた公式の問い合わせフォームから問い合わせる

届いたメールが本物かどうかを確かめるときも、メールの中のリンクや電話番号をそのまま使わないでください。 お知らせサイトや公式サイトを自分で開き、そこに載っている窓口に問い合わせるのが安全です。 今回の件では、取得された情報を悪用して、同社を装った連絡が来る可能性があると同社自身が注意を呼びかけています。 本物の案内と偽の案内が同じ時期に届くこともありうるので、慌てて返信しないことが大切です。

請求送付先の担当者として登録されていた人は、会社の管理者とは別に、氏名、住所、電話番号、メールアドレスが含まれていた可能性があります。 経理や総務の担当者が請求書の送付先になっている会社では、その担当者にも内容を共有してください。

利用企業の管理者がすること（個人情報保護委員会への報告）

続報（第二報）で、同社は次のように書いています。

本件では、当社に加え、当社のサービスでお客様の情報をお預かりしているお客様にも、個人情報保護委員会への報告が必要となります。 出典: news.trustlogin.com（続報）

利用企業は、社員の氏名やメールアドレスを自社の情報としてGMOトラスト・ログインに預けている立場です。 そのため、預け先で起きた漏えいでも、利用企業自身が報告の当事者になる場合がある、という案内です。 対象となった企業には、報告に関する案内が2026年10月7日から順次メールで送られています。

個人情報保護委員会の公式ページ「漏えい等の対応とお役立ち資料」で確かめた範囲では、報告の流れは次のとおりです。

段階	委員会のページに書かれている期限
速報	発覚したら、まずは速やかに報告。発覚日から3日から5日以内
確報	発覚日から30日以内。不正な目的で行われたおそれがある場合は、発覚日から60日以内

速報とは、分かっている範囲で最初に出す報告のことで、確報とは、調べ終えた内容をまとめて出す報告のことです。 GMOトラスト・ログイン自身は、9月16日の第一報の時点で委員会へ報告を行い、11月12日に確報を提出する予定だと書いています。

同じページには、報告が義務になる場合が挙げられています。 民間事業者に関わるものとしては、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合などです。 本人の数が1,000人を超える場合の例として、「システムの設定ミス等によりインターネット上で個人データの閲覧が可能な状態となり」と書かれています。 自社の件がどれに当たるか、自社の発覚日をいつと数えるかは、会社の状況で変わります。 ここで断定はできないので、同社から届いた案内と、委員会の公式ページを合わせて確かめてください。

委員会のページには、報告フォームと記入例のPDFも並んでいます。 その中に「クラウド事業者による代行報告事例」という記入例があり、クラウドサービスの提供事業者が利用事業者の報告を代行する場合の書き方が示されています。 今回、同社が代行報告の形をとるのか、各社が自分で報告するのかは、公式のお知らせには書かれていません。 同社から届いた案内の中身で確かめてください。

報告の手続きと並行して、管理者が社内で進めておくとよいことは次のとおりです。

項目	内容
対象の社員の洗い出し	同社の案内に沿って、どの社員のどの項目が含まれていたかを一覧にする
社員への説明	何が含まれ、何が含まれていないか、偽の連絡にどう対応するかを短く伝える
請求送付先の担当者への共有	住所と電話番号が含まれていた可能性を伝える
社内の連絡の決まりの確認	情報システム部門がパスワードを聞かないことを、改めて周知する
問い合わせの記録	社員から届いた不審な連絡の報告を、1か所に集める

ID管理の考え方そのものを見直す機会にもなります。 多要素認証の仕組みと製品の選び方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で解説しています。 今回はパスワードや多要素認証の情報は含まれていませんが、偽の連絡でパスワードを聞き出されたときに、もう1段の確認があるかどうかで被害の大きさが変わります。

社員（メンバー）が気をつけること

社員にとって気がかりなのは、自分の情報が何に使われうるかです。 今回含まれていた項目は、メールアドレス、氏名、社員番号や所属、そして「どのアプリを連携して使っているか」です。 1つ1つは名刺や社内の名簿に載っている程度の情報ですが、組み合わさると、本物らしく見える偽の連絡を作るための材料になります。

たとえば、次のような連絡が考えられます。

・「営業部 〇〇様（社員番号△△△△）」と、所属と社員番号を正しく書いたうえで、情報システム部門を名乗り、アカウントの確認のためにパスワードの入力を求めるメール
・実際に使っている会計ソフトやチャットの名前を出して、「連携の更新が必要です」とログイン画面に誘うメール
・トラスト・ログインを名乗り、契約の更新やライセンスの超過を理由に、送金や支払い情報の入力を求める連絡

自分の社員番号や、会社で使っているアプリの名前まで正しく書かれていると、社内からの連絡だと信じてしまいがちです。 特定の会社や人を狙って、その相手に合わせた内容で送るこのような偽のメールを、標的型のフィッシングと呼びます。 フィッシングとは、本物そっくりの連絡や画面でパスワードやお金をだまし取る手口のことです。

同社が第三報で呼びかけている注意は、次のとおりです。

契約の更新、ライセンスの超過、アカウントの確認などを理由に、IDやパスワードの入力、送金などを求める連絡にはご注意ください。 出典: news.trustlogin.com（第三報）

心当たりのない連絡を受け取った場合は、メール内のURLや添付ファイルを開かず、返信もしないように、とも書かれています。 また、同社からメールや電話でパスワードなどの認証情報を尋ねることはない、と明記されています。 管理者には、利用中のメンバーにもこの内容を共有するよう求めています。

社員がすることは、多くありません。

1. パスワードを聞いてくる連絡には、相手がだれを名乗っていても答えない
2. ログインはいつものブックマークか、会社が案内している入口から行い、メールのリンクから入らない
3. 不審な連絡が届いたら、開かずに社内の情報システム部門へ報告する
4. もし偽の画面にパスワードを入れてしまったら、すぐに情報システム部門に伝え、パスワードを変える

今回、ログインのパスワードは含まれていないので、それだけを理由にいますぐパスワードを変える必要があるとは公式には書かれていません。 ただ、ほかのサービスと同じパスワードを使い回している人は、この機会に見直しておくと安心です。 変える順番と使い回しの見直し方は、パスワードが漏洩したらどうなる｜変更の順番と使い回しの見直し方 2026にまとめています。

偽の連絡の見分け方（例で整理）

届いた連絡をどう扱うかを、例で整理します。 判断の基準は「パスワード、認証コード、送金、支払い情報を求めているか」と「自分で開いた窓口で確かめられるか」の2つです。

届いた連絡の例	扱い方
情報システム部門を名乗り、アカウント確認のためにパスワードの入力を求めるメール	入力しない。社内の内線やチャットなど、自分で知っている経路で部門に確かめる
トラスト・ログインを名乗り、ライセンス超過の支払いを求めるメール	支払わない。管理者が公式の問い合わせフォームから確かめる
連携しているアプリ名を出して、再ログインを求めるメール	リンクを開かず、いつものブックマークからアプリを開いて確かめる
電話で、社員番号を確認したいと言われる	答えずに切り、会社の代表番号や社内の窓口からかけ直す
身に覚えのない認証コードがSMSで届く	だれにも伝えない。ほかの人がログインを試している可能性を考え、社内に報告する

「連絡の中にある入口を使わない」という決まりにしておけば、見分けがつかなくても被害を防げます。

フィッシングメールの見分け方と、開いてしまった後の対処は、フィッシング詐欺メールの見分け方｜5秒で振り分ける手順と開いた後の対処で手順を解説しています。 社員全体で偽の連絡への慣れをつくる方法としては、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで、模擬訓練の進め方を紹介しています。

問い合わせ窓口

この件に関する相談窓口は、第三報と第一報に次のとおり載っています。

窓口	内容
名称	GMOグローバルサイン株式会社 GMOトラスト・ログイン お客様窓口（第一報の表記）
お問い合わせフォーム	trustlogin.com/contact
電話	03-4545-2303
受付時間	10:00から18:00（土日祝日を除く）

お問い合わせフォームは、GMOトラスト・ログインのお問い合わせのページから開けます。 第三報には、問い合わせが集中して返答までに時間がかかる場合がある、とも書かれています。

窓口の番号と受付時間は、届いたメールに書かれている番号ではなく、お知らせサイトに載っている番号と突き合わせてから使ってください。 偽のメールには、偽の電話番号が書かれていることがあるからです。

在宅で仕事をする人が気をつけること

在宅で仕事をする人の中には、取引先から社員アカウントを発行され、そのシングルサインオンを通じて取引先のチャットやファイル共有に入っている人もいます。 業務委託で情報システムの運用を手伝い、取引先の管理画面を代わりに操作している人もいます。 こうした立場の人は、自分の情報が対象になっている可能性と、自分が扱っている取引先の情報が関わっている可能性の両方を考える必要があります。

取引先から発行されたアカウントを使っている場合は、取引先の担当者から案内が届くはずです。 自分で同社に問い合わせるより、まず取引先の情報システム部門に、自分のアカウントが対象かを確かめるのが順序です。 取引先の名前と自分の氏名、社員番号のような番号が組み合わさって外に出ている可能性があるので、取引先を名乗る連絡にも注意してください。

取引先の管理画面を代わりに操作していた人は、過去に一括登録の作業をしたかどうかを思い出しておくと、取引先の調べものに役立ちます。 いつ、どの機能で、どの範囲の社員を登録したかの記録が残っていれば、取引先に伝えてください。 預かった情報の扱いについて、自分が個人情報保護委員会に報告する立場になるかどうかは、契約の内容と取引先との役割分担で変わります。 ここでは断定できないので、取引先と相談し、必要なら委員会の公式ページで確かめてください。

個人で働く人は、仕事用のメールアドレスを取引先ごとに分けたり、仕事用のアカウントに多要素認証を設定したりしておくと、ある1か所で情報が出ても、ほかへの影響を小さくできます。 仕事の入口になるメールアドレスとアカウントを守ることは、取引先からの信頼を守ることにもつながります。

独自データの考察。ID管理の事故から、在宅で働く人が学べること

今回の件で目を引くのは、だれかが侵入したのではなく、ファイルを保存する場所の設定と設計が原因だった点です。 しかも、発覚のきっかけは外部の研究者からの報告で、およそ9年にわたって取得できる状態が続いていました。 同社は、定期的な診断の対象にストレージが入っていなかったことを、気づけなかった理由として挙げています。 クラウドのサービスでは、データの保存場所が見えにくく、利用する側からは中身の扱いを確かめにくい、という前提で備える必要があります。

利用する側にできるのは、預けた情報が外に出ることがありうると考えて、出たときに困らない仕組みにしておくことです。 具体的には、パスワードを聞かれても答えない決まりを社内で共有すること、多要素認証を入れること、偽の連絡を報告する先を決めておくことの3つです。 どれも、情報が出たこと自体を防ぐものではありませんが、出た情報を悪用されたときの被害を小さくします。

在宅ワークとフリーランスの仲介を2004年から続けてきた運営者として見てきた限りでは、トラブルに巻き込まれにくい人ほど、届いた連絡にその場で反応せず、自分で公式の窓口を開いて確かめる習慣を持っています。 取引先から急ぎの連絡が来たときほど、一度手を止めて別の経路で確かめる人は、結果として取引先からも信頼されています。

情報の扱いに慣れた人が求められる仕事もあり、在宅ワークの仲介サイト@SOHOでも、セキュリティやマーケティングに関わる案件の内容をAI・マーケティング・セキュリティのお仕事で紹介しています。 ネットワークやシステムの基礎を体系的に学びたい人には、CCNA（シスコ技術者認定）の資格ガイドも参考になります。 ID管理やシングルサインオンの導入と運用は、中小企業では専任の担当者がいないことも多い分野で、外部の人に手伝いを頼む会社もあります。 今回のような事故の対応で、何を確かめ、どう社内に伝えるかを知っていることは、その仕事を任される人にとって大きな強みになります。

よくある質問

Q. GMOトラスト・ログインを使っています。パスワードを変える必要はありますか？

第三報では、ログインのパスワード、秘密の質問と回答、多要素認証の情報、連携先の各サービスのパスワードは含まれていないと明記されています。そのため、この件だけを理由に変える必要があるとは公式には書かれていません。ただし、同じパスワードをほかのサービスで使い回している場合は、この機会に見直すと安心です。

Q. 自分の会社が対象かどうかは、どうすれば分かりますか？

同社から管理者に個別のメールが届く仕組みです。2026年9月16日から連絡が始まり、10月7日からは個人情報保護委員会への報告の案内も送られています。第三報で対象が2,492社に増えているので、9月に届いていなくても10月以降のメールを確かめ、分からなければ公式の問い合わせフォームから問い合わせてください。

Q. 今回の件は外部からの攻撃によるものですか？

第一報は「外部からの攻撃やシステムへの侵入によるものではなく、当社の設定および設計上の不備によるもの」と書いています。ロゴ配信用の公開領域にファイルを保存する設計で、ファイル一覧が外部から取得でき、第三者に取得されていたことを外部専門機関が確認した、というのが公式の説明です。

Q. 問い合わせ先はどこですか？

GMOトラスト・ログインのお問い合わせフォーム（trustlogin.com/contact）と、電話03-4545-2303です。受付時間は10:00から18:00で、土日祝日を除きます。問い合わせが集中して返答に時間がかかる場合があると案内されています。届いたメールに書かれた番号ではなく、公式サイトの番号を使ってください。