マネーフォワード GitHub不正アクセス事件から学ぶ：IT監査の視点で読み解くソースコード管理リスクMay 2, 2026 · 1 分
マネーフォワード GitHub不正アクセス事件から学ぶ：IT監査の視点で読み解くソースコード管理リスク
目次

はじめに

2026年5月1日、株式会社マネーフォワードは、開発・運用に使用していたソースコード管理サービス「GitHub」に第三者による不正アクセスが発生したと公表しました。この事件では、リポジトリ内のソースコードがコピーされ、コード中に含まれていた一部の個人情報や認証キーが外部に流出した可能性があります。金融系SaaSが直面した今回のインシデントは、IT監査担当者として見逃せない重要な教訓を含んでいます。本稿では、漏洩の全容を整理したうえで、問題の所在と監査上の確認ポイントを解説します。

1. 漏洩の全容

何が起きたか

マネーフォワードは、ソフトウェア開発・システム管理に利用していた GitHub のアカウントに対して、第三者が不正アクセスを行ったことを確認しました。攻撃者は社内で使用していた GitHub の認証情報を何らかの手段で入手し、リポジトリへのアクセス・コピーに成功しています。

流出した情報

種別内容件数
個人情報マネーフォワード ビジネスカード利用者のカード保持者名（アルファベット）・カード番号下4桁最大370件
認証情報ソースコード内に記述されていた各種認証キー・パスワード詳細非開示
ソースコード社内リポジトリのコード全体（コピーされた可能性）詳細非開示

家計簿アプリ「マネーフォワード ME」の本番データベースからの直接流出は、現時点では確認されていないとのことです。

発覚の経緯と対応

不正アクセスを検知したマネーフォワードは、速やかに以下の初動対応を実施しました。

2. 何が良くなかったか？

1 ソースコードへの機密情報の混入（最大の問題点）

最も根本的な問題は、本番環境の認証キー・パスワードがソースコードそのものに記述されていた可能性です。さらに、法人向けクレジットカードサービスの個人情報（氏名・カード番号）が開発用コードやテストデータとして混入していたと考えられます。これは、開発セキュリティの基本原則である「シークレットのコード分離」が徹底されていなかったことを示しています。

2 GitHub 認証情報の管理不備

3 リポジトリのアクセス権限管理の甘さ

個人情報や認証キーが含まれるリポジトリへのアクセス権限が必要以上に広く設定されていた可能性があります。最小権限の原則（Least Privilege）が適切に運用されていれば、被害範囲を縮小できたと考えられます。

4 本番データの開発環境への流入

テスト・開発工程において本番の個人情報が使用されていた可能性は、PCI-DSS（クレジットカード業界のセキュリティ基準）への準拠上も深刻な問題です。本番データは匿名化・マスキングされたテストデータに代替されるべきです。

3. 考えられる影響

利用者への影響

370件というカード保持者情報の流出自体は件数としては限定的ですが、氏名とカード番号下4桁が組み合わさることで、フィッシングやソーシャルエンジニアリング攻撃に悪用されるリスクがあります。また、銀行口座連携の一時停止は、家計管理サービスを日常的に利用しているユーザーに大きな不便を与えました。

企業への影響

4. IT監査で確認すべきポイント

まとめ

今回のマネーフォワード GitHub 不正アクセス事件は、「コードリポジトリは社内データ」という認識が不十分だったことに起因すると言えます。ソースコードには認証情報・設定値・テストデータが混入しやすく、一度流出すると本番環境への二次攻撃にも悪用されます。IT監査においては、従来の「データベースやネットワーク」に加え、開発ツール・コード管理環境のセキュリティを監査対象として明確に位置づけることが求められます。自組織のリポジトリ管理体制を今一度、本チェックリストで点検してみてください。

参考情報

IT監査 セキュリティ インシデント GitHub