株式会社CAMPFIRE（CAMPFIRE）

CAMPFIREは第二報で、不正アクセスを受けたGitHubアカウントから一部の個人情報が見られる状態だったと公表しました。

対象は、事務手続きの作業に起因する取引先1先の氏名と連絡先、開発業務に関わった従業員と委託先（退職者を含む）413名の氏名とメールアドレスです。この時点で不正利用は確認されていません。

個人情報保護委員会へ報告し、漏れた認証情報の無効化と再発行、個人用アクセストークンへの依存を見直した権限を絞った認証方式への移行、組織内の既定のアクセス権限の見直しを進めるとしています。

CAMPFIREは第三報で、詳しい調査の結果、顧客情報を管理するシステムの一部に外部からの不正アクセスの痕跡が見つかったと公表しました。

情報の安全を確保する措置は終えており、影響の範囲を検証しているところで、結果が分かり次第報告するとしています。外部の調査機関と連携し、原因の調査と再発防止に取り組むとしています。

追記後の4月24日の発表で、個人情報の漏えいの可能性が公表されました。

CAMPFIREは、GitHubへの不正アクセスに関する詳しい調査の結果、顧客情報を管理するシステムの一部で個人情報が漏えいした可能性があると公表しました。4月21日にデータベースへのアクセスと内部処理の痕跡が見つかったためです。データファイルのダウンロードは確認されていませんが、漏えいの有無を確かめる検証を続けています。システムの安全を確保する措置は済ませました。

対象は、2021年2月以降にプロジェクトを作ったオーナーなど120,929件、PayPal決済やこんど払いの利用者、口座送金で返金を受けた支援者130,155件で、氏名、住所、電話番号、メールアドレス、口座情報です。ほかにパートナー1,282件の氏名が含まれ、重複を除くと225,846件です。カード情報は含まれません。

この日から対象者に順にメールで知らせています。個人情報保護委員会に報告し、警察にも相談しました。同社を名乗るフィッシングや代引きの詐欺に注意し、口座の明細を確かめるよう求めています。4月28日10時に専用の相談窓口を設ける予定です。

CAMPFIREは、4月24日に公表した個人情報漏えいの可能性について、その後の精査で範囲の内訳を詳しく示しました。対象者と重複を除いた225,846件に変わりはなく、対象者には24日にメールで連絡済みです。

内訳は、プロジェクトオーナーとコミュニティオーナーの一部108,784件（うち口座情報を含むもの53,868件）、2021年1月1日から2026年4月19日にPayPal決済を使った人などの支援者118,010件（同4,307件）で、いずれも氏名、住所、電話番号、メールアドレス、口座情報です。ほかにパートナー1,282件の氏名と、どちらに当たるか分からない人のうち2020年にマイページで口座情報を編集した10,521件の口座情報が新たに示されました。

CAMPFIREは、4月24日に知らせた個人情報漏えいの可能性について、問い合わせ専用の電話窓口を4月28日10時に開設しました。受付は土日祝日も含む10時から19時です。

個別の連絡を受け取った人は、メールにある「お問い合わせ番号」を伝えると案内が早くなるとしています。

なお、この窓口の土日祝日の受付は2026年6月で終わり、7月以降は平日のみとするとページ上で知らせています。

不正アクセスによる個人情報漏えいの可能性について、経緯と今の対応をまとめて改めて知らせました。

4月3日にGitHubアカウントへの不正アクセスを検知し、調べた結果、顧客情報を管理するシステムの一部で個人情報が漏えいした可能性が分かったこと、クレジットカード情報は含まれないこと、対象は重複を除いて最大225,846件で、対象者には個別にメールで連絡していることを説明しています。

個人情報保護委員会への報告と警察への相談を行い、外部の専門機関と詳しい調査を続けているとしています。