インシデント

はじめに 2026年5月1日、株式会社マネーフォワードは、開発・運用に使用していたソースコード管理サービス「GitHub」に第三者による不正アクセスが発生したと公表しました。この事件では、リポジトリ内のソースコードがコピーされ、コード中に含まれていた一部の個人情報や認証キーが外部に流出した可能性があります。金融系SaaSが直面した今回のインシデントは、IT監査担当者として見逃せない重要な教訓を含んでいます。本稿では、漏洩の全容を整理したうえで、問題の所在と監査上の確認ポイントを解説します。 1. 漏洩の全容 何が起きたか マネーフォワードは、ソフトウェア開発・システム管理に利用していた GitHub のアカウントに対して、第三者が不正アクセスを行ったことを確認しました。攻撃者は社内で使用していた GitHub の認証情報を何らかの手段で入手し、リポジトリへのアクセス・コピーに成功しています。 流出した情報 種別 内容 件数 個人情報 マネーフォワード ビジネスカード利用者のカード保持者名（アルファベット）・カード番号下4桁 最大370件 認証情報 ソースコード内に記述されていた各種認証キー・パスワード 詳細非開示 ソースコード 社内リポジトリのコード全体（コピーされた可能性） 詳細非開示 家計簿アプリ「マネーフォワード ME」の本番データベースからの直接流出は、現時点では確認されていないとのことです。 発覚の経緯と対応 不正アクセスを検知したマネーフォワードは、速やかに以下の初動対応を実施しました。 不正アクセスに使用された認証情報の即時無効化およびアカウントの遮断 ソースコード内に含まれていた認証キー・パスワードの全件無効化と再発行 マネーフォワード クラウドおよびマネーフォワード ME における銀行口座連携機能の一時停止 個人情報保護委員会への報告および影響を受けた利用者への個別通知 2. 何が良くなかったか？ 1 ソースコードへの機密情報の混入（最大の問題点） 最も根本的な問題は、本番環境の認証キー・パスワードがソースコードそのものに記述されていた可能性です。さらに、法人向けクレジットカードサービスの個人情報（氏名・カード番号）が開発用コードやテストデータとして混入していたと考えられます。これは、開発セキュリティの基本原則である「シークレットのコード分離」が徹底されていなかったことを示しています。 2 GitHub 認証情報の管理不備 トークンや PAT（Personal Access Token）の長期間使用・ローテーション未実施 フィッシングや情報窃取型マルウェアによる認証情報の盗取 多要素認証（MFA）が一部アカウントで未設定 3 リポジトリのアクセス権限管理の甘さ 個人情報や認証キーが含まれるリポジトリへのアクセス権限が必要以上に広く設定されていた可能性があります。最小権限の原則（Least Privilege）が適切に運用されていれば、被害範囲を縮小できたと考えられます。 4 本番データの開発環境への流入 テスト・開発工程において本番の個人情報が使用されていた可能性は、PCI-DSS（クレジットカード業界のセキュリティ基準）への準拠上も深刻な問題です。本番データは匿名化・マスキングされたテストデータに代替されるべきです。 3. 考えられる影響 利用者への影響 370件というカード保持者情報の流出自体は件数としては限定的ですが、氏名とカード番号下4桁が組み合わさることで、フィッシングやソーシャルエンジニアリング攻撃に悪用されるリスクがあります。また、銀行口座連携の一時停止は、家計管理サービスを日常的に利用しているユーザーに大きな不便を与えました。 企業への影響 ブランド・信頼への打撃：金融系サービスでの情報漏洩はユーザー離れに直結する可能性があります。 法的・規制上のリスク：個人情報保護法に基づく行政指導・課徴金リスク、PCI-DSS 準拠の再審査。 財務的コスト：事故対応・調査費用、被害者通知費用、再発防止策の実装コスト。 ソースコード流出による二次被害リスク：コード内のロジックや脆弱性が攻撃者に把握された場合、さらなる攻撃に悪用される可能性があります。 4. 金融庁・銀行と電代事業者との関係 マネーフォワードは、銀行口座の残高・入出金情報を取得するために「電子決済等代行業者（電代事業者）」として金融庁に登録されています。この登録制度は、改正銀行法（2018年施行）により設けられ、銀行との間でAPI接続契約を結ぶことが義務付けられています。 今回のインシデントで銀行口座連携機能が一時停止された背景には、こうした法的・契約的な関係が影響しています。 ...