同じ「6万件」でも、中身は同じではありません。6月に公表されたマネーフォワードの6万件は、単体では個人を特定できない管理番号でした。8月4日にイノベーションが公表した最大約6万件は、氏名とメールアドレスです。しかもこれは、精査が終わる前の数字です。
法人向けIT製品比較サイト『ITトレンド』を運営する株式会社Innovation & Co.を傘下に持つ株式会社イノベーションは2026年8月4日、グループが利用するソースコード管理サービス『GitHub』の認証情報が漏えいし、これを用いた第三者による不正アクセスが発生したと発表した。
ソースコードと、リポジトリ内のファイルに記載された個人情報の一部が流出した可能性がある。対象は最大約60,000件の氏名とメールアドレスで、うち一部には電話番号も含まれる。項目と件数は精査中で、確認でき次第、続報を出すとしている。該当する顧客にはメール等で個別に連絡する。
同社は経路となった認証情報の無効化とアカウント遮断を完了し、ソースコードに含まれる各種認証キー・パスワードの無効化と再発行も概ね完了した。
From: 
『GitHub』への不正アクセス発生に関するお知らせとお詫び（速報）
【編集部解説】
破られたのはGitHubではない
まず、誤解を避けたい点があります。公表されているのは、イノベーショングループのGitHub認証情報が漏えいし、それを用いた第三者による不正アクセスが発生したという経緯です。現時点のリリースに、GitHubのサービス基盤そのものが侵害されたことを示す記述はありません。
では、その鍵はどこでどう漏れたのか。ここは公表されていません。同社は原因調査中としており、ITmedia NEWSの取材にも「社内での調査を継続しており、詳細な事実関係が確定していない」として個別回答を控えています。認証情報の漏えい元、攻撃者像、対象サービスは、いずれも明かされていません。
「6万件」という数字の中身が、先行事案とは違う
2026年に入って、日本企業がGitHub起点の情報漏えいを公表した事案は、公式発表を確認できた範囲でCAMPFIRE、マネーフォワード、イノベーションの少なくとも3社にのぼります。
ここで数字の読み方に注意が必要です。マネーフォワードも最終的に「60,449名分」という6万件台の数字を公表しました。ただし同社が6月23日の第四報で明記したのは、その6万件は「単体で個人を特定できない固有識別子」——ユーザーを区別するための最大19桁の管理用番号だったという事実です。同社顧客の氏名またはメールアドレスに該当したのは124名分にとどまります。
対してイノベーションが速報段階で示したのは、最大約60,000件の「氏名」と「メールアドレス」、そのうち一部は電話番号付きです。数字の桁は同じでも、含まれる情報項目と、単体で個人を直接識別できるかどうかが異なります。
なお、マネーフォワードの第一報（5月1日）で公表された件数は370件でした。そこから精査完了までに約7週間を要しています。CAMPFIREも4月3日の第一報時点では個人情報の流出は確認されておらず、22万5846件という数字が出たのは4月24日です。
イノベーションが第一報の時点で6万件という規模を出したことは、調査の到達度が違うのか、それとも規模が最初から明白だったのか。どちらとも判断できる材料はまだありません。同社自身も「現在精査を進めており」としており、この数字は確定値ではない、という以上のことは言えない段階です。
なぜ設計図の保管庫に、名前とメールアドレスが入っているのか
通常、顧客の個人情報をソースコードに直接記述する運用は想定されません。それでも、リポジトリからは個人情報が出てきます。
この点について、マネーフォワードは踏み込んだ説明を残しています。同社によれば、個人情報を扱うサービスの更新作業を進める過程で、個人情報を含むファイルが本来の管理手順から外れ、誤ってGitHub上に保管されていた、というものでした。CAMPFIREの場合は、従業員が発行したGitHubの認証情報が個人の開発用サーバに意図せずアップロードされ、第三者に不正利用されたことが発端だったと、6月2日の調査結果で公表されています。
両社で確認されているのは、いずれも情報管理上の人為的な問題です。ただし、公式発表だけから攻撃全体の技術的な難易度まで評価することはできません。イノベーションの原因は未公表なので、同列に扱うこともできません。先行する2件が示しているのは、ソースコード以外の作業用ファイルや認証情報が、リポジトリとその周辺に残りうるという事実です。
対象サービスが特定されていないということ
グループ会社の株式会社Innovation & Co.が運営する「ITトレンド」は、法人向けIT製品の比較・資料請求サイトです。グループは他に、ITトレンドEXPO、bizplay、List Finder、Sales Doc.、Cocripoといったサービスを持ち、株式会社シャノン、株式会社Innovation X Solutionsなどを傘下に置いています。
ただし、リリースは「当社グループ」としか書いておらず、どのサービスの情報が対象なのかは特定されていません。流出した可能性のある情報が、どの部門・職種の担当者のものに偏っているのかも不明です。個別サービスの被害を断定できる段階ではありません。
そのうえで、続報で最も注視したい点を挙げておきます。メールアドレスが勤務先のものなのか、同一人物について電話番号までそろっているのか、閲覧履歴や資料請求履歴が含まれるのか。いずれも公表されていません。
氏名やメールアドレスは、なりすましメールなどに悪用される可能性があります。仮にBtoB向けサービスの利用者情報が対象に含まれる場合、どの情報が相互に結び付いているかは、利用者が自身への影響を判断するうえで重要です。現時点では、その判断材料は公表されていません。
留保しておくべきこと
まず、数字は動きます。上振れするとも下振れするとも、同社は書いていません。原典が言っているのは「精査中」だけです。先行事案では数字が大きく動いた例がありますが、それは他社の経過であって、本件の予測ではありません。
次に、影響範囲の測定基準が示されていません。何をもって「流出した」とするのか、リポジトリのコピーが取られたのか、閲覧にとどまるのか。マネーフォワードが第一報で「リポジトリがコピーされた」と明示したのに対し、イノベーションのリリースにその記述はありません。
そして、認証が守る範囲についても留保が必要です。イノベーショングループは公式サイトで、プライバシーマークや情報セキュリティマネジメント関連認証の取得歴を掲げています。ただし、今回不正アクセスを受けたシステムが、これらの認証の適用範囲に含まれるかは公表されていません。
一般に、これらの制度は、個人情報を保護する体制や情報セキュリティマネジメントシステムが所定の基準に適合しているかを評価するものです。個別のインシデントが一切起きないことを保証する制度ではありません。認証の有無だけから、今回の管理状況や原因を評価することはできない、という射程の話として書いておきたいと思います。
続報で確認したい3点
1つ目は、対象サービスの特定です。どのサービスの、どの範囲の顧客情報が含まれるのか。2つ目は、流出項目の確定。氏名・メールアドレス・電話番号以外に、閲覧履歴や資料請求履歴が含まれていないか。3つ目は、認証情報がどこから漏れたのかという点です。
同社は「開示すべき新しい事実が発見された場合は速やかに開示する」と明言しています。
イノベーションのニュースページに出ている速報リリースは、A4一枚に満たない短さです。書かれていない項目——対象サービス名、リポジトリに個人情報が入った経緯、侵入経路、リポジトリがコピーされたのか閲覧にとどまるのか——を数えると、続報で何が埋まるべきかが見えてきます。該当者への連絡はメールで届くとされています。氏名とメールアドレスが流出した後に届くそのメールが本物かどうかを、受け取った側は何を根拠に判別するのか。
【関連記事】
CAMPFIRE個人情報漏えい問題、対象は22万5846件 GitHubアカウント乗っ取りから波及、JFAも影響
GitHubアカウント侵害から3週間で被害範囲が4段階に拡大した経過を追った記事。最終的に22万5846件が対象となった。
マネーフォワード『GitHub』不正アクセス、ビジネスカード370件流出可能性──銀行連携を一時停止
GitHub認証情報の漏えいでリポジトリがコピーされ、銀行口座連携が一時停止した事案。第一報の公表件数は370件だった。
GitHub内部リポジトリ約3,800件が流出 — 悪意あるVS Code拡張機能から始まった侵害をTeamPCPが主張
GitHub社自身の内部リポジトリが流出したとされる事案。悪意あるVS Code拡張機能から始まる攻撃連鎖を整理している。
【編集部後記】
リリースの末尾に、問い合わせ窓口が一行だけ載っています。メールアドレスがひとつ、受付は平日10時から17時まで。電話番号の記載はありません。
CAMPFIREが個人情報の専用窓口を開いたのは、22万件を公表した4日後のことでした。受付は10時から19時です。6万件という規模に対してメール1本で足りるのかどうかは、続報がいつ、どこまで踏み込んで出てくるか次第で見え方が変わってきます。
【用語解説】
リポジトリ
ソースコードや関連ファイル、変更履歴を一元管理する保管場所。案件ごとに区切られた「設計図の棚」にあたる。設計図そのもの以外に、作業過程で持ち込まれたファイルが残ることがあり、本件で個人情報が含まれていたのはこの部分である。
認証情報
サービスにログインするためのID、パスワード、アクセストークンなどの総称。本件で漏えいしたのはこの認証情報である。
ソースコード
プログラムを人間が読み書きできる形で記述したもの。外部サービスへ接続するための認証キーが書き込まれている場合があり、流出時には二次的な侵入経路になりうる。
固有識別子
本記事でいう固有識別子は、マネーフォワードがユーザーを区別するために使用していた最大19桁の管理番号である。同社によれば氏名やメールアドレスを含まず、この番号単体から特定の個人を直接識別することはできない。
なりすましメール
実在する組織や担当者を装って送られるメール。氏名やメールアドレスといった実在の情報が使われるほど、受信者が真偽を見分けにくくなる。
プライバシーマーク
JIS Q 15001に準拠した指針に基づき、個人情報を保護する体制を整備している事業者を評価し、マークを付与する制度。制度の運営は一般財団法人日本情報経済社会推進協会（JIPDEC）が担うが、申請の審査は他の審査機関も行う。
情報セキュリティマネジメントシステム（ISMS）
組織が情報資産を守るために定める管理の仕組み。国際規格ISO/IEC 27001に基づく適合性評価制度があり、クラウドサービス固有の管理策を扱うISO/IEC 27017はその追加認証にあたる。
【参考リンク】
株式会社イノベーション（外部）
法人向けIT製品比較サイト「ITトレンド」などを運営する東証グロース上場企業。本件の速報リリースはニュース欄に掲載されている。
株式会社Innovation & Co.（外部）
「ITトレンド」「bizplay」などを手がける、イノベーショングループのオンラインメディア事業会社。2019年9月設立。
ITトレンド（外部）
法人向けIT製品の比較・資料請求サイト。カテゴリごとの一括資料請求と導入事例の閲覧に対応する、同グループの主力サービスである。
GitHub（外部）
米国GitHub社が提供するソースコード管理サービス。リポジトリ単位で設計図と変更履歴を管理する、開発現場の基盤となっている。
株式会社シャノン（外部）
「SHANON MARKETING PLATFORM」を提供するイノベーショングループの一社。マーケティング業務の自動化を手がける。
株式会社Innovation X Solutions（外部）
「List Finder」「Sales Doc.」などを提供する、イノベーショングループのITソリューション企業である。
プライバシーマーク制度（JIPDEC）（外部）
プライバシーマーク制度を運営する一般財団法人。制度の概要、審査基準、個人情報保護マネジメントシステムの構築・運用指針を公開している。
【参考記事】
GitHubへの不正アクセスに関する詳細調査の完了およびセキュリティ対策強化のお知らせ（第四報）（外部）
顧客124名分、取引先28名分、従業員2,300名分、固有識別子60,449名分という内訳を公表した、精査完了の報告である。
『GitHub』への不正アクセス発生に関するお知らせとお詫び（第一報）（外部）
公表件数が370件だった段階の第一報。ここから精査完了まで約7週間を要した起点にあたる。
不正アクセス事案にかかる調査結果について（外部）
外部フォレンジック調査の結果。GitHub認証情報が個人開発用サーバへ意図せずアップロードされた経緯を公表している。
【重要】弊社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとご報告（外部）
ユニーク225,846件という規模を公表した回。4月3日の第一報から21日後にあたる。
最大6万件の個人情報流出か 「ITトレンド」など運営のイノベーション、GitHubの認証情報漏えいで（外部）
同社が個別質問への回答を控えたという、リリースには書かれていない事実を伝えている。
クラファンサイト「CAMPFIRE」、不正アクセスによる個人情報漏えいの可能性、最大22万件超（外部）
対象者の区分別内訳を整理した記事。単純合計25万件超がユニーク22万5846件になる過程を示す。
