Brewtope「Otomoni」でクラウドのアクセスキーがGitHub上に公開（最大20,776件の個人情報流出の可能性）
公表日
クラフトビール定期便「Otomoni」を運営するBrewtope株式会社が、最大20,776件の個人情報が流出した可能性を2025年9月25日に公表した。クラウドのアクセスキーがGitHub上で公開されていたことが原因で、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。自体は確認されていない。
対象者は？
2019年10月〜2025年8月13日に「Otomoni」を利用した個人顧客と、法人取引先の担当者が対象。個人顧客は氏名、住所、電話番号、メールアドレス、生年月日、配送先住所、注文情報、決済情報（カード番号の下4桁と有効期限のみ）、法人・取引先は企業名、納品先住所、担当者氏名、メールアドレス、電話番号、生年月日が流出した可能性がある。クレジットカード番号の全桁と暗証番号は、漏えい可能性なしとして除外されている。
個別の通知や確認方法については、まだ発表されていません。
いますぐできること
- Otomoniを利用したことがある場合は、氏名や住所、電話番号を知っているかのような不審なメールや電話、郵便に注意する。
- メール内のリンクや添付ファイルは開かず、公式の連絡先から確認する。
- クレジットカードの利用明細を定期的に見て、身に覚えのない請求がないか確認する。
何が起きたのか
2025年8月13日、クラウド事業者から、Brewtopeが使っているクラウドサーバーのアクセスキーがGitHub上で公開されていると知らされました。アクセスキーは、クラウド上のデータに入るための鍵のようなものです。調査の結果、2024年1月13日から2025年8月13日までの間、第三者がクラウド上の個人情報にアクセスできる状態だったことが分かりました。同社は8月13日にこの鍵を無効にし、8月19日には鍵や認証情報の更新と監査機能の見直しなどを行いました。そして9月25日に、最大20,776件の個人情報が流出した可能性があると公表しました。
なぜ起きたのか・なぜ広がったのか
同社は、アクセスキー管理のルール徹底と運用管理に不備があり、認証情報がGitHub上で公開されてしまったことが直接の要因だと説明しています。この鍵でクラウド上の個人顧客と法人取引先担当者の情報にアクセスできる状態でした。そのため、約1年7か月にわたり影響の可能性が残りました。なお、クラウドのアクセスログから不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていませんが、完全には否定できないとしています。
いまの状況2025-10-07 時点続報待ち
2025年10月7日時点の情報では、鍵の無効化と認証情報の更新は済んでいます。流出が確認された件数、対象者への通知、補償、再発防止策の詳細、当局への対応については、まだ発表されていません。
企業として考えたいこと
自社のクラウドのアクセスキーが、社内外のリポジトリや共有場所に残っていないか、また万一公開されたときに何日で気付いて無効化できるかを、いま確認できますか。
技術的な要約
Brewtope株式会社は2025年9月25日、クラフトビール定期便サービス「Otomoni」に関連する最大20,776件の個人情報が流出した可能性を公表した。発端は2025年8月13日、同社が利用するクラウドサーバーのアクセスキーがGitHub上で公開されていたことをクラウド事業者から通知されたことである。調査の結果、2024年1月13日〜2025年8月13日の間、第三者がクラウド上の個人情報にアクセス可能な状態だったことが判明した。クラウドのアクセスログから不正アクセスは確認されていないが、完全には否定できないとしている。対象は2019年10月〜2025年8月13日の個人顧客の会員・注文情報および法人取引先の担当者情報等で、クレジットカード番号の全桁や暗証番号は漏えい可能性なしとして除外されている。当該キーは8月13日に無効化され、8月19日にキー・認証情報の更新と監査機能の見直し等が実施された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明クラウドサーバーのアクセスキーがGitHub上で公開されていた（2024-01-13〜2025-08-13の間、第三者がアクセス可能な状態）。クラウドのアクセスログから不正アクセスは確認されておらず、実際の侵入経路は特定されていない。直接要因はアクセスキー管理に関するルール徹底と運用管理の不備と整理されている。
- 脆弱性
- CVE 非公表報道・研究者製品の脆弱性ではなく、アクセスキー管理ルールの徹底不足と運用管理の不備により認証情報がGitHub上で公開された。クラウド事業者名は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公表情報に業務停止の記載はない。
- データ
- おそれ上限 20,776確定 —件氏名住所電話メール生年月日購入履歴クレカ取引先情報個人顧客：氏名、住所、電話番号、メールアドレス、生年月日、配送先住所、注文情報、決済情報(カード番号下4桁・有効期限のみ)。法人・取引先：企業名/取引先名、納品先住所、担当者氏名、メールアドレス、電話番号、生年月日。カード番号の全桁や暗証番号は漏えい可能性なしとして除外。対象期間は2019年10月〜2025年8月13日。不正アクセスは確認されていないが完全には否定できない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表されている事実の整理 事実
Brewtope株式会社は2025年9月25日、クラフトビール定期便サービス「Otomoni」に関連する最大20,776件の個人情報が流出した可能性を公表した。発端は2025年8月13日、クラウド事業者から、同社が利用するクラウドサーバーのアクセスキーがGitHub上で公開されていると通知されたことである。調査の結果、2024年1月13日〜2025年8月13日の間、第三者がクラウド上の個人情報にアクセス可能な状態になっていたことが判明した。アクセスキーを使うと、Otomoniを利用した顧客や取引関係にある法人・事業者の担当者の個人情報にアクセスできる状態だった。クラウドのアクセスログから不正アクセスは確認されていないが、完全には否定できないとしている。
対象となる情報と除外された情報 事実
対象は2019年10月〜2025年8月13日に同サービスを利用した個人顧客の会員・注文情報と、法人取引先の担当者情報等である。個人顧客で流出の可能性がある情報は、氏名、住所、電話番号、メールアドレス、生年月日、配送先住所、注文情報、決済情報（カード番号下4桁・有効期限のみ）。法人・取引先では、企業名/取引先名、納品先住所、担当者氏名、メールアドレス、電話番号、生年月日が挙げられている。クレジットカード番号の全桁や暗証番号など決済に直接利用される情報は、漏えい可能性なしとして除外されている。件数の20,776件は「最大」であり、流出が確認された件数ではない。
封じ込め対応と同社が示した直接要因 事実
同社は2025年8月13日に当該アクセスキーを無効化し、8月19日にはキー・認証情報の更新、監査機能の見直し等の強化対応を実施済みとしている。直接要因は、アクセスキー管理に関するルール徹底と運用管理の不備により、認証情報がGitHub上で公開されてしまったことと整理されている。製品の脆弱性や攻撃者による侵入が原因として示されているわけではなく、不正アクセスそのものも確認されていない。以上の内容は、同社の発表を伝える報道記事に基づく。
公開期間の長さが影響評価に与える意味 解釈
キーが利用可能な状態だった期間は2024年1月13日から2025年8月13日まで、約19か月に及ぶ。こうした長い期間では、ログの保存期間や粒度によって、過去の第三者アクセスをどこまで検証できたかが評価に影響した可能性がある。同社は不正アクセス未確認としつつ完全否定はできないとしており、「おそれ」の段階で最大件数を公表した判断は、影響を過小に見せない姿勢とも読める。ただし、ログの範囲や調査方法は公表されていないため、確認できた範囲の限界は外部からは判断できない。
個人と法人の情報が同じ基盤にあった点 解釈
報道によれば、Brewtopeは400社以上のブルワリー・4000銘柄を扱う冷蔵配送網と管理システムを持ち、1000社近い飲食・小売・法人に流通支援を行っている。今回の対象にも個人顧客と法人取引先の担当者情報が含まれており、一つのクラウド上のキーで両方の情報に届く構成だった可能性がある。この点は公表された事実から推測した見方であり、権限分離の有無や保存先の構成は明らかにされていない。事業の拡大局面では、保存先と権限の設計を見直す機会が増えると考えられる。
対応
- 封じ込め
- 2025年8月13日に当該アクセスキーを無効化。8月19日にキー・認証情報の更新、監査機能の見直し等の強化対応を実施済み。
- 公表の仕方
- 2025年9月25日に同社が最大20,776件の個人情報流出の可能性を公表。直接要因をアクセスキー管理ルールの徹底と運用管理の不備と説明している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ソースコード公開リポジトリへの認証情報の混入を、公開前に止める仕組みが必要になる。 | pre-commitフックにgitleaksやtrufflehogを導入し、CIでもシークレットスキャンを必須にする。GitHubのpush protectionとsecret scanningを組織全体で有効化する。 |
| 長期間有効なアクセスキーは、公開されても気付かれにくく、公開期間が長引く。 | IAMユーザーの固定キーをやめ、IAMロールや一時的な認証情報（STS等）へ移行する。残す場合は90日以内の自動ローテーションと、未使用キーの定期失効を設定する。 |
| キーが外部に出ても被害範囲を絞れるよう、権限は最小限にする必要がある。 | キーごとに必要なバケット・テーブルだけに許可するポリシーを割り当て、IPやVPC条件を付ける。個人情報の保存先は用途別にアカウントやプロジェクトを分ける。 |
| 不正アクセスの有無を後から確認できるよう、アクセスログを十分な期間保存する必要がある。 | クラウドの監査ログ（CloudTrail等）とデータアクセスログを有効化し、改ざんされない別アカウントに13か月以上保存する。キーごとの異常な利用を検知するアラートを設定する。 |
| 外部から公開を指摘されて初めて気付く状態では、発覚までの時間が長くなる。 | 自社ドメインやリポジトリ名、キーの識別子を対象にした外部監視を導入する。クラウド事業者の漏えい通知の連絡先を運用チームが受け取れる共有アドレスにし、受領後の無効化手順を訓練しておく。 |
自組織などでの確認項目
- 自組織のリポジトリ（過去の履歴や個人の公開リポジトリを含む）に、アクセスキーやパスワードが残っていないか、スキャンで確認できていますか。
- クラウドのアクセスキーの一覧、作成日、最終利用日、付与されている権限を、今日すぐに出せますか。使われていない古いキーはありませんか。
- 個人情報の保存先へのアクセスログは、何か月分残っていますか。外部から通知を受けた場合に、過去の第三者アクセスの有無を判断できますか。
- クラウド事業者や外部から漏えいの通知が届く連絡先は誰が受け取りますか。受け取ってからキーを無効化するまでの手順と所要時間を決めていますか。
未解明点
- 流出が確認された件数は公表されておらず、対象者への個別通知の有無や方法もまだ発表されていない。
- 2024年1月13日にキーが公開された経緯と、リポジトリが公開状態だった理由は示されていない。
- アクセスログの保存期間や調査範囲、不正アクセスを確認できなかった根拠となる調査方法は詳しく公表されていない。
- 個人情報保護委員会への報告など当局対応や、金銭面の影響は公表されていない。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2025-09-30報道本文確認済
- 2ScanNetSecurity2025-10-07報道本文確認済
- 3LOGISTICS TODAY2025-04-24報道本文確認済