チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「GitHubって開発者が使うツールなのに、なぜ一般ユーザーの個人情報が漏れるの？」
「自社のリポジトリに個人情報が含まれていないか、確認する方法が分からない」
チップスGitHub経由の情報漏洩ってよく聞くでしゅけど、開発者が使うツールなのに、なんで利用者の情報が漏れるんでしゅか？
ボスリポジトリの中に個人情報を含むファイルが入っていたんだよ。開発者が「うっかり」混入させてしまうケースが後を絶たない。今回のイノベーション社の件も、まさにそのパターンだな
法人向けIT製品の比較サービス「ITトレンド」を運営するイノベーション社が、GitHubへの不正アクセスにより最大6万件の個人情報漏洩の危機に直面した。
ソースコード管理ツールに潜む”見えないリスク”が、利用者の個人情報を直撃した可能性がある事案だ。
この記事では、GitHub経由の情報漏洩がなぜ起きるのか、そして自社に同じことが起きないよう何をすべきかを解説する。
ソースコードに潜む個人情報のリスクを正しく理解することで、自社のセキュリティ対策を見直すきっかけにしてほしい。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
「ITトレンド」など法人向けITサービスを運営する株式会社イノベーション（東京都渋谷区）は2026年8月4日、GitHubへの不正アクセスが発生したと発表した。
同社が開発業務に使用していたGitHubアカウントの認証情報が外部に漏えいし、第三者がそのアカウントに不正ログインしたとみられる。
不正アクセスにより閲覧された可能性がある個人情報の件数は最大約6万件。
氏名とメールアドレスが対象で、うち一部の対象者には電話番号も含まれる。
これらの情報は、ソースコードやリポジトリ内のファイルに記載された状態で保管されており、正規の業務システムではなく開発資産の中に個人情報が混入していたことが明らかになっている。
発覚後の対応について、同社は以下のように説明している。
現時点では「社内での調査を継続しており、詳細な事実関係が確定していない」とのことで、漏洩件数は「精査中」だ。
最終的な被害範囲は今後の調査次第で変わる可能性がある。
GitHubのPersonal Access TokenやOAuth Tokenが攻撃者の手に渡ると、そのトークンに付与された権限・スコープの範囲でリポジトリへのアクセス権が与えられてしまう。
プライベートリポジトリも対象になり得る。
チップスプライベートリポジトリなら外部から見えないんじゃないでしゅか？
ボス認証情報さえ手に入れれば、正規の開発者と同じ権限でリポジトリを閲覧できてしまう。「非公開」の意味が、認証情報の漏えいで消えてしまうんだな
攻撃者は認証情報を使って、ソースコード内に埋め込まれたAPIキー、接続文字列、そして今回のような個人情報を含むファイルにアクセスできてしまう。
これが、GitHubの認証情報漏えいがただのアカウント乗っ取りにとどまらない理由だ。
2026年はGitHub認証情報の漏えいを起点とする情報漏洩が相次いでいる。
4月にはクラウドファンディングサービスのCAMPFIRE、5月にはMoneyForwardで同様の事案が発生した。
いずれも「公表当初の想定より被害範囲が拡大した」という共通点がある。
マネーフォワードの事案では、最終的に62,901名分のデータが対象となり、銀行口座連携機能が35日間停止されるなど、当初発表を大幅に超える影響が生じた。
今回のイノベーション社も「精査中」の段階で最大6万件と公表しており、最終的な件数が変動する可能性は否定できない。
開発現場では、本番環境の接続情報やAPIキーをソースコードに直接記述する「ハードコーディング」と呼ばれる慣行が今なお根強く残っている。
また、テスト環境の構築に実際の顧客データを流用するケースもある。
こうした慣行が、個人情報をリポジトリに引き込む原因になっている。
ポイントは以下のとおりだ。
GitHubのSecret Scanningなどの自動検出機能を活用し、誤って認証情報がコミットされた場合にすぐ検知できる体制を整えることも重要だ。
APIキーやパスワードは環境変数（Environment Variables）や秘密管理サービスに分離するのが鉄則となっている。
チップス開発の現場でどうすれば防げるんでしゅか？
ボスまず「ソースコードに認証情報を書かない」という鉄則を組織全体で徹底する。それだけで相当なリスクが下がる。Secret ScanningやGitGuardianのようなツールで検知することも手だな
イノベーション社のGitHub不正アクセス事案は、ソースコード管理の甘さが利用者の個人情報漏洩に直結することを改めて示した。
ITトレンドのような比較・情報サービスは多数の法人顧客の情報を扱うため、その管理体制の重要性は高い。
GitHubのセキュリティは開発チームだけでなく、経営層やセキュリティ担当者が組織として取り組むべきテーマだ。
認証情報をソースコードに含めない、アクセストークンの権限を最小限にしローテーションを行う、リポジトリを定期的にスキャンする。
この3点が、同様のインシデントを防ぐ基本的な対策となる。
チップス今日から早速、うちのリポジトリもチェックしてみるでしゅ！
ボスふふふ、その意識が大事だな。見つけたら即座に無効化と再発行。それが鉄則だ
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
