- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.05.01
- 原因の分類
- 認証情報・シークレット
- 対策可能性
- 判定保留
この記事の3行まとめ
- GitHubの認証情報を使われ、リポジトリがコピーされた
- 認証情報がどう漏れたかは、まだ分かっていない
- 該当するお客さまには個別に連絡し、銀行連携は一時停止中
開発・システム管理に使うGitHubの認証情報が漏えいし、第三者による不正アクセスでリポジトリがコピーされた。ソースコードと、リポジトリ内に記載された個人情報の一部が流出した可能性がある。対象は『マネーフォワード ビジネスカード』に関わる370件のカード保持者名（アルファベット）とカード番号の下4桁で、全桁や有効期限、セキュリティコードは確認されていないとする。本番データベースからの漏えいや、流出情報の不正利用は確認されていないとする。
確認された経路・公表元の推定
- 認証情報が漏えいしたが、漏えいの経緯は資料に記載がない
- 漏えいした認証情報を用いて第三者が不正アクセスし、GitHub内のリポジトリをコピーした
- コピーされたリポジトリ内のソースコードと個人情報の一部が流出した可能性を確認した
根拠の要点
公表元は、GitHubの認証情報の漏えいを経路とする第三者の不正アクセスを確認済みとして説明している。一方、認証情報が漏えいした経緯は記載がない。侵入の起点が認証情報であることは分かるが、その原因は未公表である。
資料の基準時点：資料に基準時点の記載なし（取得日 2026-10-18）
当時、対策できたのか
判定保留
公表元は認証情報の無効化と再発行を行ったと説明している一方、認証情報が漏れた経緯や攻撃時点の防御条件を示していない。対策の欠落や発覚時の未発見についても記載がないため、判定を保留した。
公表された対策
- 不正アクセスの経路となった認証情報の無効化とアカウントの遮断を完了
- ソースコードに含まれる各種認証キー・パスワードの無効化と再発行を実施（概ね完了）
- 銀行口座連携機能を一時的に停止
- すべての確認作業の完了後、サービスを順次再開する予定
- 本件の原因調査と安全性の一層の強化、再発防止に取り組む
まだ分からないこと
- 認証情報が漏えいした経緯と原因
- 侵入・発生の日時
- 流出した可能性のあるソースコードと個人情報の全容
- 銀行口座連携の再開時期