マネーフォワードで6万件超の個人情報漏洩、GitHub認証情報の盗用が引き金に

「GitHubを使っている開発チーム、もし不正アクセスされたらどうなるんでしゅか？」
「クラウドサービスを通じた情報漏洩って、防ぎようがないんでしゅか…？」

チップス

ボス！マネーフォワードのGitHubが不正アクセスされて、6万件以上の情報が漏れたって本当でしゅか？

ボス

本当だ。2026年5月に発覚し、6月に調査が完了した事案だ。GitHubの認証情報が盗まれてリポジトリに侵入された結果、本来あるべきでない個人情報がコード管理基盤から流出した。開発環境のデータ管理が甘いと、このような事故が起きる典型例だな。

マネーフォワードは「マネーフォワード ME」「マネーフォワード クラウド」など、個人から法人まで幅広く使われている金融サービスを展開している。
今回の事件は単なるシステム侵害にとどまらず、銀行口座連携機能の一時停止という実害を伴い、多くのユーザーに影響を与えた。
この記事では、事件の経緯・漏洩データの内訳・根本原因と教訓を詳しく解説する。

この記事を読めば、自社の開発環境が同じリスクを抱えていないかを確認する視点が得られる。

マネーフォワードで何が起きたのか

2026年5月1日、マネーフォワードは「GitHub」への不正アクセスが発生したと公表した。
同社グループが使用するソースコード管理基盤に侵入され、リポジトリ内のファイルに含まれていた個人情報が外部に流出した可能性があることが判明した。
6月23日には詳細調査が完了し、第四報として最終的な漏洩状況が開示された。

漏洩した情報の内訳

調査の結果、影響を受けた情報の種類と件数は以下の通りだ。

クレジットカード番号の全桁・有効期限・CVVは含まれておらず、金融機関への不正ログインや不正決済は確認されていない。
ただし銀行口座連携機能は一時停止となり、復旧まで多くのユーザーに影響を与えた。

チップス

6万件超！でも管理番号だけなら大丈夫でしゅよね？

ボス

管理番号単独では個人を特定できなくても、他の流出データと組み合わせれば話が変わる。「単体では問題ない」という楽観はリスク評価を甘くする。

原因と教訓—開発環境に潜むデータ管理リスク

今回の事件で特に注目すべきは、攻撃の巧みさよりも「なぜ本番データが開発リポジトリに存在したのか」という根本的な問題だ。
調査の結果、発端となったのはGitHubの認証情報の漏えいだったが、被害が拡大した背景には開発環境のデータ管理の問題があった。

二重の失敗—認証情報の漏えいと個人情報の混入

事件の構造は二段階になっている。ポイントは以下の通りだ。

マネーフォワードは「本来の管理手順から外れてファイルが保管されていた」と説明している。
本番データが開発環境に混入するケースは、大規模なシステム開発・更新作業の中で起きやすい。
個人データを扱う企業ならどこにでも潜在するリスクだ。

同様のインシデントを防ぐための対策

マネーフォワードが実施した再発防止策と、業界標準の対策を合わせると以下のポイントになる。

マネーフォワードは事後対策として端末セキュリティの強化・開発環境へのリアルタイム監視導入・認可外の外部サービスへのアクセスのシステム遮断を実施している。

チップス

GitHubに個人情報が入ることなんてあるでしゅか？うちの会社は大丈夫でしゅよね…？

ボス

「大丈夫なはず」という思い込みが一番危ない。テスト用CSVや連絡先ファイルが誤ってコミットされるケースは実際に多い。今すぐリポジトリにシークレットスキャンが走っているか確認しろ。

まとめ：GitHubは「開発ツール」ではなく「機密管理の焦点」だ

今回の事件は、マネーフォワードという国内有数の金融テック企業でも、開発環境のデータ管理ミスが大規模な情報漏洩につながることを示した。
GitHubを筆頭とするコード管理基盤は、今や企業の機密情報が最も集積する場所のひとつになっている。
「コードを管理する場所」としか捉えていないと、今回のような事態を招くリスクがある。

認証情報の厳格な管理・開発環境への本番データ持ち込み禁止・シークレットスキャンの常時稼働、この三つをセットで実装することが、同種のインシデントを防ぐ最低ラインだ。

チップス

うちのGitHubリポジトリ、明日確認してみましゅ！シークレットスキャンの設定も調べてみるでしゅ！

ボス

ふふふ。それでいい。確認してから「大丈夫だった」と言え。確認しないまま「大丈夫なはず」とは言うな。