株式会社マネーフォワードが開発に使うGitHubの認証情報が漏れ、第三者にリポジトリをコピーされました。ソースコードのほか、リポジトリ内のファイルにあったビジネスカード370件のカード保持者名と下4桁、顧客・取引先・従業員の氏名やメールアドレス、顧客の管理用番号約6万件が流出したおそれがあります。
事故の概要
- 漏れたもの
- 氏名
- メールアドレス
- 電話番号
- 会員番号・ユーザーID
- その他
- 件数
- 63,271件要確認各区分の合計（公式に合計の記載なし）。ビジネスカード370件、顧客124人、取引先28人、従業員・退職者2,300人、顧客の管理用番号60,449人
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 可能性あり
- 原因
- 不正アクセス
- ドメイン
- moneyforward.com
経緯
- 検知—
- 初動対応—
- 公表5/1
- 続報5/11
- 調査結果6/23
- 再発防止策—
公表2026年5月1日
開発とシステム管理に使う『GitHub』の認証情報が漏れ、それを使った第三者の不正アクセスでリポジトリがコピーされたと公表しました。ソースコードと、リポジトリ内のファイルに書かれていた個人情報の一部が流出した可能性があります。本番データベースからの漏えいや不正利用は確認されていません。
確認できた対象は『マネーフォワード ビジネスカード』の370件のカード保持者名（英字）とカード番号下4桁で、カード番号の全桁や有効期限、セキュリティコードは含まれないとしています。対象者には個別に連絡します。
認証情報の無効化とアカウント遮断、ソースコード内の認証キーやパスワードの再発行を進め、念のため銀行口座連携機能を一時停止しました。
出典『GitHub』への不正アクセス発生に関するお知らせとお詫び（第一報）corp.moneyforward.com
続報2026年5月11日
詳しく調べた結果、本番データベースへの侵害や改ざん、顧客情報の漏えいは無く、パスワード変更などのお願いは無いと報告しました。リポジトリに含まれる個人情報の範囲は引き続き精査中です。
個人情報保護委員会への速報、関東財務局など監督官庁への報告、警察への相談を行い、外部のセキュリティ会社から対策の妥当性の評価を受けました。全社的な認証情報の刷新、ソースコードの再検査、GitHubの権限管理の厳格化、機密情報混入の自動検知、開発環境のリアルタイム監視を導入しています。
出典『GitHub』への不正アクセスに関する調査進捗および銀行口座連携再開に向けた経過のご報告（第二報）corp.moneyforward.com
続報2026年5月12日
安全性の確認と追加対策を終え、最終確認が済んだ金融機関から銀行口座連携を再開したと知らせました。他の金融機関も確認がとれ次第再開し、状況はサポートサイトで更新するとしています。
出典銀行口座連携の順次再開に関するお知らせ（第三報）corp.moneyforward.com
調査結果2026年6月23日
リポジトリ内の個人情報の精査が終わり、新たに判明した対象を公表しました。顧客124人（氏名100件、メールアドレス24件）、取引先28人（氏名、メールアドレス）、従業員・退職者2,300人（管理用ID、氏名、メールアドレス、電話番号）、顧客を区別する最大19桁の管理用番号6万449人分です。管理用番号はログインIDとは別で、単独では個人を特定できないとしています。
流出はリポジトリ内のものに限られ、本番環境からの漏えいや二次被害は無いとしています。連絡先が分かる対象者には個別に案内しました。
発端となった認証情報の漏えい対策として業務端末の統制を強め、許可していない外部サイトやクラウドへの通信を遮断する仕組みを入れました。同日、個人情報保護委員会と金融庁などに確定報告を出しています。
出典GitHubへの不正アクセスに関する詳細調査の完了およびセキュリティ対策強化のお知らせ（第四報）corp.moneyforward.com
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
このサービスを使っていた方へ
- 1会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
- 2知らない番号からの電話や SMS、届いた覚えのない郵便に気をつけてください。
- 3会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。