『GitHub』への不正アクセス発生に関するお知らせとお詫び（第一報）

平素は、マネーフォワードグループが提供するサービスをご利用いただき、誠にありがとうございます。 当社がソフトウェア開発およびシステム管理に利用している『GitHub』※1の認証情報が漏えいし、これを用いた第三者による不正なアクセスが発生し、『GitHub』※1内の「リポジトリ」※2がコピーされたことが判明しました。 ※1『GitHub』： 米国 GitHub 社が提供しているソースコード管理サービス ※2 リポジトリ： プログラムの設計図が入っている保管庫 現時点において、ソースコードおよび、リポジトリに含まれていたファイル内に記載されていた個人情報の一部が流出した可能性があることを確認しております。なお、流出したソースコードおよび個人情報の不正利用等による被害や、お客さま情報を格納している本番データベースからの情報漏えいは確認されておりません。 【流出した可能性のある個人情報】 ・マネー

[munieru_jp]

なんでGitHubリポジトリに個人情報が含まれてるんですか？

[Listlessness]

リポジトリになんでそんな情報が含まれていたんだろう

[hazeblog]

リポジトリ内にカード保有者名とカード番号下4桁が...？

[fusionstar]

テストコードのダミーデータがマスクの甘い個人特定可能データだったとかかな。

[knitcapmann]

“上記のとおり、当社ではサービスの安全運営に支障はないと考えております。” 問題あるしこの認識が問題。

[gabill]

AIが関連してるのかここ数週間でいろんなセキュリティインシデントが多発してる。数年後には「2026年ごろのセキュリティ意識って今考えると危なすぎたよな」と振り返ることになりそう。

[Goldenduck]

設定ファイルにDBのパスワード書いててDB侵入され流出したのかと思っていたのだが直で個人情報をリポジトリに入れてたのか

[hase0510]

この370人のための特別なロジックを動かすif文がナイーブに実装されてたとか？

[knjname]

アクセス可能なすべてのリポジトリのコミットログ全部のどれかにPIIがあるかはスキャニングしてないとわからん　誰かがやらかして表面上だけ消して満足しやがるし気づいた頃にはハードダイバージしか選択肢がズルズル

[u_mid]

先月はCAMPFIREでGitHubアカウントへの不正アクセスからの個人情報流出が起こっていたね https://campfire.co.jp/press/2026/04/24/campfire/ こっちは第一報の時点では"ソースコードが閲覧された可能性がある"止まりだったけど

[fieldragon]

金融資産に関わるサービスがこのようなセキュリティトラブルを起こすのは致命的になりかねない

[e4k2EO]

厳しい

[saikyo_tongaricorn]

本番環境でやらかしちゃったアドベントカレンダーで待ってます

[prograti]

"個人情報の取り扱いを伴うサービスの更新作業を行う過程で、個人情報が含まれたファイルが本来の管理手順から外れ誤ってGitHub上に保管されていた" https://support.me.moneyforward.com/hc/ja/articles/57504390625305

[maangie]

https://x.com/mizchi/status/2050161414820737279

[mino90]

個人情報の扱い方だけで信用なくなる

[securecat]

370人の顧客向けの特別カスタマイズなのかなぁ・・・？

[oh_157]

どうしても本番データ使いたかったと見る

[youichirou]

少ないのはテストデータをそのまんま上げちゃってた感じ? “『マネーフォワード ビジネスカード』に関わる370件の「カード保持者名（アルファベット）」および「カード番号の下4桁」”

[whirl]

なぜそんなもんをGitHubに

[miruto]

リポジトリに個人情報が入っているって理解不能なんだけど？

[digo]

何かのsecretやkeyが漏れたのかと思ったら、個人情報がそのままGitHubに載ってたってこと？😳

[okbm]

seederっぽさある

[pakila]

テストデータだとしたら、テストデータに「うんこ」って書くなの別バージョンだ。

[ublftbo]

“上記のとおり、当社ではサービスの安全運営に支障はないと考えております。”　何が　“上記のとおり”　なんだ…？

[izoc]

Githubの過失のようにミスリードする不誠実なタイトル。「個人情報流出に関するお知らせとお詫び」だろうが

[timetrain]

何を言ってるのかまったくわからなかったのだが、ブコメのおかげで概要がわかった。ひどすぎんか

[sh-taka]

なんで個人情報をGitHubのリポジトリに上げるの？？？？マネフォがココ最近前のめりにCowork使って商売しようとしてるけどコレはあかんなぁ

[dollarss]

git ignore という仕組みがありましてね。そちらをお使いになることを推奨いたします。

[amourkarin]

なぜ370件だけなのかが気になる

[momiji_2]

家計簿アプリに情報入力するのってやっぱ怖いな

[ot2sy39]

これ、報道がちゃんと重大性を理解して報道したら、会社倒産するレベルのニュース。

[honeybe]

よくあるクレデンシャル流出かと思ったらもっとヤバい事案が潜んでいたでゴザル…

[crosscrow]

もともとスクレイピングでデータ拾ってたサービスだから、例えばブラックカードみたいなレアな会員種別については悪魔のような条件分岐で処理してたとかありそう。一部ユーザーのみ障害とかよくあったし。

[kijtra]

ソースに個人情報を書いてたのか。コメントとかテストデータとかなのかな。

[n_vermillion]

リポジトリのソースコード内に”「カード保持者名（アルファベット）」および「カード番号の下4桁」”…だと…？　どういうことだよ。どう考えてもそこにあったらアカンやつやろがい。

[oktnzm]

多分、生の個人情報でテストデータ作っちゃった！(コミット済み)。でもマスクしたのをコミットしたからヨシ！案件かな。

[matchy2]

多要素認証にはしてなかったのかな

[naka_dekoboko]

今はAIつかいはじめてコードにはじめて手だしたひとがいわれるがままファイルを公開であげて、逆に悪人はそれを総ざらいして個人情報や数字をそれこそ全部AIにしらみつぶしさせてる

[solidstatesociety]

中途半端な数