サイバーセキュリティクラウドのGitHub管理領域への不正アクセスによる顧客情報等漏えいのおそれ
公表日
株式会社サイバーセキュリティクラウドは、従業員のGitHub認証情報1件が外部流出し、ソフトウェア開発環境へ不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。された結果、一部の顧客情報や通信関連情報が漏えいしたおそれがあると発表しました。
対象者は？
同社サービスを利用する一部顧客（企業名、氏名、メールアドレスなど）およびサービス利用に伴う通信関連情報。クレジットカード情報や平文パスワード等の高機微情報の流出は公表されておらず、対象件数や人数は調査中です。
漏えいの可能性がある顧客には同社から順次個別に案内が行われます。委託元企業を通じてサービスを利用している個人については、委託元経由での案内となります。
いますぐできること
- 現時点で利用者が直ちに行うべき緊急対応は公表されていませんが、同社または契約元企業から個別の連絡を受けた場合は内容を確認し指示に従ってください。
- 本件に便乗した不審なメールや偽の問い合わせ連絡に注意し、心当たりのない不審なURLや添付ファイルは開かないようにしてください。
何が起きたのか
2026年11月、外部機関からの情報提供を受け社内で調査を行ったところ、従業員の業務端末等で使われていたGitHub認証情報1件が外部に流出していたことが判明しました。アクセスログを調べた結果、2026年11月5日に第三者による過去の不審なアクセスが確認されました。同管理領域に一部顧客の企業名・氏名・メールアドレスや通信関連情報が保存されていたため、情報が閲覧・取得された可能性が否定できない状況となっています。
なぜ起きたのか・なぜ広がったのか
従業員が使用していたGitHubの認証情報1件が外部に流出し、それを悪用されて不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われました。認証情報が流出した具体的な経路や原因はまだ発表されていません。また、ログの記録内容や保存期間に制約があったため、認証情報が有効だった全期間のアクセス履歴を遡って確認することが困難でした。
いまの状況2026-11-13 時点続報待ち
流出した認証情報の無効化、GitHub上に保存されていた他サービス認証情報の変更、関係端末の隔離とアカウント利用停止などの封じ込め措置が完了しています。サービス本体への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。や機能影響、二次被害は確認されておらず通常通り稼働を継続しています。流出件数や原因の詳細は外部専門機関を交えて調査中であり、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。と対象顧客への順次案内が進められています。
企業として考えたいこと
自社のソースコードリポジトリソフトウェアの開発で、プログラムのソースコードや設定ファイル、その変更履歴をまとめて保管する場所です。GitHubなどのサービスで管理されることが多く、複数人で共同開発できます。パスワードやアクセスキーなどの認証情報がうっかり保存されていると、リポジトリを見られた人がそれを使って、ほかのシステムにログインできてしまいます。や開発環境に、本番環境の顧客データや他システムの認証キーが誤って保存・混入していないか、またSaaSログは十分な期間保管されているでしょうか。
技術的な要約
サイバーセキュリティクラウドは2026年11月12日、ソフトウェア開発に使用しているGitHub上の自社管理領域への不審なアクセスを確認し、保存されていた個人情報が漏えいしたおそれがあると発表した。外部機関からの情報提供を受け調査したところ、従業員が業務で使用していたGitHubの認証情報1件が外部に流出し、これを用いた第三者による過去の不審なアクセスが11月5日に確認された。漏えいのおそれがあるのは一部顧客の企業名、氏名、メールアドレスやサービス利用に伴う通信関連情報であり、対象範囲や件数は調査中とされている。同社は流出した認証情報の無効化や関係する開発端末の隔離などの封じ込めを実施し、サービス本体への影響や二次被害は確認されておらず通常通り提供を継続している。
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認従業員が業務で使用していたGitHubの認証情報1件が外部に流出し、第三者による不審なアクセスに悪用された。認証情報が流出した原因や経路は調査中。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 本件に起因するサービスへの不正アクセスや不正操作、二次被害、セキュリティ機能への影響は確認されておらず、通常どおり提供を継続している。
- データ
- おそれ上限 —確定 —氏名メール取引先情報その他GitHub上に保存されていた一部顧客の企業名、氏名、メールアドレスなどの情報およびサービス利用に伴う通信関連情報。対象となる個人情報の範囲や対象人数・件数は調査中。
- 波及先
- —
- 取り扱いの委託を受けている個人情報の委託元顧客
- 金銭影響
- 業績への影響は精査中
- サプライチェーン
- 顧客から取り扱いの委託を受けている個人情報が含まれていた可能性があり、委託元顧客と連携して本人への通知や個人情報保護委員会への連名報告を含めた対応を相談・調整している。
時系列
- 2026-11-05
- 2026-11-12 13:00
- 2026-11-12
- 2026-11-12
- 2026-11-12
- 2026-11-12
- 2026-11-12
- 2026-11-12
- 2026-11-13
技術解説
判明した不正アクセスの経緯と初動対応 事実
サイバーセキュリティクラウドは2026年11月12日、ソフトウェア開発に使用しているGitHubの自社管理領域への不審なアクセスを確認したと公表した。発端は外部機関からの情報提供であり、調査の結果、従業員が業務で使用していたGitHubの認証情報1件が外部へ流出していたことが判明した。アクセスログを調査したところ、2026年11月5日に当該認証情報を用いた第三者による過去の不審なアクセスが確認された。確認可能なログの期間や記録内容には制約があり、認証情報が有効だった全期間のアクセス状況は確認できていない。同社は流出した認証情報の無効化、GitHub上に保存されていた他サービス認証情報の確認および変更、アクセス権限の見直し、関係する開発端末の隔離とアカウント利用停止を実施した。また、社内エンジニアと外部専門機関によるフォレンジック調査を進めるとともに、個人情報保護委員会への報告を行った。
影響範囲とサービス本体への稼働状況 事実
本件で漏えいのおそれがあるとされているのは、GitHubの管理領域に保存されていた一部顧客の企業名、氏名、メールアドレスなどの情報およびサービス利用に伴う通信関連情報である。対象となる個人情報の具体的な範囲や人数、件数、保存情報の実際の持ち出し状況については調査中とされている。同社が顧客から取り扱いの委託を受けている個人情報については、委託元と連携して本人への通知手続きや個人情報保護委員会への連名報告を含めた相談が進められている。一方で、第一報時点で本件に起因する同社サービス本体への不正アクセスや不正操作、二次被害、セキュリティ機能への影響は確認されておらず、WAFなどのセキュリティサービスは通常通り稼働を継続している。業績への影響については精査中と公表されている。
開発基盤における認証情報管理とシークレット混入のリスク 解釈
本事案は、従業員のGitHub認証情報1件の流出を契機として、ソースコードリポジトリなどの開発環境が侵害された事例である。リポジトリ内に一部の顧客情報や通信関連情報、他サービス用の認証情報が保存されていた事実から、開発資材を扱う領域に機微データやシークレットが混入・蓄積していた運用の課題がうかがえる。また、外部からの指摘を受けるまで侵入に気づけなかった点や、ログの記録期間・内容の制約により有効期間全体のアクセス証跡を把握できなかった点は、SaaS開発環境における継続的なアクセス監視と長期ログ保全の難しさを示している。単一の認証情報侵害が顧客データの漏えい懸念や他サービスへの横展開リスクに直結した点において、多要素認証の強制やシークレットスキャン、リポジトリへの顧客データ配置制限といった多層防御の重要性を再認識させる。
対応
- 封じ込め
- 流出したGitHub認証情報を無効化し、GitHub上に保存されていた他サービス用認証情報の確認と変更、各種認証情報やアクセス権限の見直し、関係する開発端末の隔離とアカウント利用停止を実施した。
- 公表の仕方
- 2026年11月12日13時に「当社開発環境における情報漏えいのおそれに関するお知らせとお詫び（第一報）」を開示。漏えいの可能性がある顧客へ順次案内を行うとともに、委託元顧客と連携して本人への通知手続きを進めている。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 開発用リポジトリへの顧客情報やシークレット情報の混入防止 | CI/CDパイプラインやGitプリコミットフックにシークレット検出ツール（TruffleHogやgit-secretsなど）を導入し、機密データや他サービスのAPIキー・トークンがリポジトリへコミットされるのを自動検知・遮断する。また、顧客データ等の本番データを検証・開発環境へ持ち込まない運用規程とマスキング処理を徹底する。 |
| SaaSやソースコード管理サービスにおける強固な認証と端末制限 | GitHub等の外部開発プラットフォームに対して、パスキーやハードウェアトークンを用いたフィッシング耐性のある多要素認証（MFA）を必須化し、許可された業務端末のクライアント証明書や特定IPアドレスからのみアクセスを認める条件付きアクセス制御を設定する。 |
| クラウド開発環境の監査ログ保全と不審アクティビティの検知 | GitHub Enterprise等の監査ログ（Audit Log）をSIEMやクラウドストレージへリアルタイム転送し、長期間（最低1年以上）改ざん不能な形式で保管する。あわせて、通常と異なる地理的拠点や異常な時間帯、短時間での大量リポジトリクローンを検知するアラートルールを構築する。 |
| 認証情報侵害時の迅速なクレデンシャルローテーション体制の整備 | リポジトリ侵害が発生した際に即時無効化・再発行できるよう、外部サービス連携キーやサービスアカウントの依存関係を構成管理台帳で把握し、AWS Secrets ManagerやHashiCorp Vault等を用いた動的シークレット運用または自動ローテーションの仕組みを整備する。 |
自組織などでの確認項目
- GitHubなどの外部SaaS型開発プラットフォームにおいて、多要素認証（MFA）の強制設定やアクセス可能なIPアドレス・端末の制限が適用されているか。
- ソースコードリポジトリやコミット履歴に、顧客情報、通信ログ、他サービスのAPIキーや認証トークンが誤って含まれていないか定期的なスキャンを行っているか。
- 外部開発ツールの監査ログ（アクセスログ・操作ログ）を外部ログ基盤に退避し、事後調査に十分な期間（数か月〜1年以上）保管・分析できる状態になっているか。
- 委託元から預かっている個人データや機微情報が、本番環境以外の開発・テスト環境やリポジトリ領域に保存・混入していないか確認しているか。
未解明点
- 従業員のGitHub認証情報が外部に流出した具体的な原因や経路（マルウェア感染、フィッシング、他サービスからの流用など）は何だったのか。
- GitHub上の自社管理領域から実際に閲覧・持ち出された顧客情報や通信関連情報の具体的な件数および対象顧客の範囲はどう特定されるか。
- 監査ログの制約によって確認できなかった期間において、第三者による不正アクセスがいつから行われていたのか。
出典
- 1株式会社アクト2026-11-12報道本文確認済
- 2サイバーセキュリティ.com2026-11-12報道本文確認済
- 3トレーダーズ・ウェブ2026-11-12報道本文確認済
- 4NHK2026-11-12報道本文確認済
- 5ITmedia NEWS2026-11-13報道本文確認済
- 6ビジネス＋IT2026-11-12報道本文確認済
- 7NOVAIST2026-11-12報道本文確認済
- 8セキュリティ対策Lab2026-11-12報道本文確認済
- 9ITmedia NEWS2026-11-13報道本文確認済