GMO GlobalSign уточнила масштаб утечки из сервиса управления входом Trust Login: 45 030 человек из 2 492 организаций вместо предварительных 37 747 человек. Итоговый отчёт от 30 октября также объясняет, почему открытое хранилище годами оставалось вне проверок безопасности.

Хранилище сделали публичным для раздачи логотипов. Но туда же система складывала временные файлы массовых операций администраторов и сведения о договорах. Посторонний мог получить список файлов и скачать их: ссылки не требовали подписи и не имели срока действия. Регулярные проверки охватывали приложения и серверы, но обходили стороной само хранилище.

Открытый доступ существовал с ноября 2017 года до сентября 2026-го. Это не означает девять лет доказанного скачивания: сохранившиеся журналы подтверждают получение файлов с июня 2021 года, более ранних записей нет. Проблему обнаружили после сообщения внешнего исследователя 14 сентября; блокировку доступа завершили на следующий день.

Среди раскрытых данных — имена, почта, названия подключённых приложений и служебные атрибуты сотрудников. Пароли сервиса и подключённых систем, данные многофакторной защиты и платёжные сведения в файлах отсутствовали. О последующем злоупотреблении данными компания пока не сообщала.

Опасные файлы удалены, выдача ссылок ограничена подписью и сроком действия. Расширение внешних проверок на облачную среду и автоматическое удаление временных файлов входят в дальнейшие меры: весь обещанный план ещё не завершён.