Metaから持ち出されたデータの99%は、製品のソースコードでした。けれども多くの開発現場が自分のこととして身構えるべきなのは、残りの1%のほうかもしれません。その個人データは、社内の規定では置いてはいけないはずのリポジトリに置かれていたといいます。
SecurityWeekは2026年10月13日、Metaの説明として、同社がGitHub上に置く一部のリポジトリへの不正アクセスを受け、約1,500人への通知が始まったと報じた。対象の大半は米国在住のMeta従業員だという。攻撃者はある従業員の盗まれた認証情報を使っており、Metaは数週間前に侵入を検知してアクセスを遮断し、GitHubと法執行機関に連絡した。持ち出されたデータの99%は一部製品のソフトウェアコードなどの業務データで、1%が社内規定に反して誤って置かれていた個人データだったとされる。
個人データに見えたものの相当部分は、合成または匿名化されたテストデータだったという。Meta広報は、製品の脆弱性ではなく社内システムも侵害されていないと説明している。
From: 
Meta Says Hackers Took Code, Personal Data of 1,500 in GitHub Breach（SecurityWeek）
【編集部解説】
Metaは今回の件について、製品の脆弱性を突かれたものではなく、社内システムへの侵入でもないと説明しています。入口になったのは、ある従業員の盗まれた認証情報でした。報道では、認証情報が盗まれた経緯は明らかにされていません。
GitHubは、世界中の開発者がソースコードを保管し、共同で開発を進める場所です。有効な認証情報が悪用されると、製品の脆弱性を突かなくても、その認証情報の権限に応じてアクセスされることがあります。今回どの認証手段が使われたのかは、報道では明らかにされていません。
Metaは、GitHubとのこれまでの調査から、攻撃者が同社のデータを特に狙っていたとは考えていないとしています。規模や知名度に関係なく、どの開発組織にも起こりうる形として受け止めておきたい事例です。
SecurityWeekによると、Metaは、持ち出されたデータの99%が一部製品のソフトウェアコードなどの業務データだったと説明しています。Metaは、業務データへのアクセスに伴うリスクに備えて、製品のセキュリティを強化したとしています。一般論として、コードが外に出れば、仕組みや弱点を調べる手がかりにもなりえます。
この件で多くの開発現場が自分ごととして受け取れるのは、残りの1%のほうです。同報道によると、個人データは社内規定に反して誤ってリポジトリに置かれていたといいます。規定そのものはあったのです。
この構図は、国内の事例とも重なります。株式会社イノベーションは2026年8月、GitHubへの不正アクセスの原因として、設定ファイルに書かれていた認証情報が第三者に不正に取得されたことと、分析・開発の過程で個人情報がリポジトリ内に保存されていたことの二つを挙げました。8月10日の訂正後の対象は62,689名分です。innovaTopiaでも、この事例を速報の段階で伝えています（イノベーション、GitHub認証情報漏えいで最大6万件流出か）。認証情報の漏えいと、置くべきでない場所に置かれたデータ。この二つが重なると、被害は一気に現実のものになります。
Metaの事後対応は、開発現場の点検項目としても参考になります。影響を受けたリポジトリで見つかった秘密情報（一般にはAPIキーやトークンなどを指します）を取り替えること。ユーザーデータをGitHubに置かないための管理策を入れること。そして、誤ってアップロードされたユーザーデータを見つけるスキャンを、二層目の防御として加えていることです。
データを置かないための管理策に、置いてしまったデータを見つける仕組みを重ねる。予防と検出を組み合わせるこの考え方が、対応の核にあると読めます。人は間違えるという前提に立ち、間違いが起きたあとに見つける網を張っておく。開発の現場では、コードを書く速度が上がるほど、この網の価値が高まっていきそうです。
もう一つ考えたいのが、テストデータの扱いです。Metaによると、個人データに見えたものの相当部分は、合成または匿名化されたテストデータでした。攻撃者も、実在する人の記録とテストデータを簡単には見分けられない可能性があるとされています。実在する人の情報をテストに使わないことの意味を、あらためて考えさせる説明です。それによって今回の影響がどこまで抑えられたのかは、まだ分かっていません。
開発の現場で秘密情報が漏れる経路は、リポジトリだけではありません。innovaTopiaでは、AIのコーディング支援ツールが秘密情報を外部へ送ってしまう可能性を研究者が示した事例も取り上げました（GitHub Copilot CLI、暗号文で秘密情報を外部送信）。開発の道具を増やすときには、認証情報の置き場所とアクセス権もあわせて点検しておきたいところです。
報道では、個人データの種類、影響を受けたリポジトリの数、攻撃者の身元は明らかにされていません。Metaは規制当局への通知も進めているとしており、今後の届け出で詳しい内容が分かる可能性があります。
コードの置き場所は、そのまま守るべき場所でもあります。Metaほどの規模の組織が事後の対策として検出の仕組みを加えていることは、中小の開発チームにとっても、データを置かない管理策と混入を見つける仕組みを見直すきっかけになります。鍵とデータの置き場所を確かめておくことが、開発のスピードを保ったまま守りを固める近道になりそうです。
【関連記事】
イノベーション、GitHub認証情報漏えいで最大6万件流出か
GitHub Copilot CLI、暗号文で秘密情報を外部送信 研究者が実証
GitHub内部リポジトリ約3,800件が流出 — 悪意あるVS Code拡張機能から始まった侵害をTeamPCPが主張
【編集部後記】
通知を受け取った約1,500人の大半は、Metaの従業員でした。顧客の情報が大量に漏れた事件とは、少し形が違います。
リポジトリは、従業員がふだん仕事をしている場所です。そこに置かれた個人データの持ち主もまた、同じ職場の人たちでした。テストのつもりで手元のデータを使う。急いでいて置き場所を確かめない。そうした小さな省略の影響を最初に受けるのは、多くの場合、すぐ隣で働く同僚なのかもしれません。
【用語解説】
リポジトリ
ソースコードとその変更履歴をまとめて保管する場所。GitHubでは、プロジェクトごとにリポジトリを作り、複数の開発者が共同で作業する。
秘密情報（シークレット）
APIキーやアクセストークン、パスワードなど、システム同士がつながるための鍵にあたる情報。コードと一緒にリポジトリに置かれると、漏えいしたときに別のシステムへの入口になる。
テストデータ（合成・匿名化）
開発中のプログラムを試すために使うデータ。実在の人物に基づかずに作った合成データや、個人を特定できないよう加工した匿名化データがある。
【参考リンク】
GitHub Docs「Secret scanning」（外部）
リポジトリに含まれたAPIキーなどの秘密情報を自動で検出するGitHubの機能の解説。漏えいした認証情報が悪用される前に見つける仕組み。
株式会社イノベーション「GitHubへの不正アクセスに関する詳細調査の完了および セキュリティ対策強化のお知らせ（確定報）」（外部）
2026年8月7日の確定報。設定ファイルの認証情報の不正取得と、リポジトリ内の個人情報保存という二つの原因と再発防止策を示す。
Adversa AI「GitHub Copilot CLI vulnerability: Cryptographic Context Injection steals developer secrets」（外部）
AIのコーディング支援ツールが開発者の秘密情報を外部へ送ってしまう可能性を示した研究者の検証報告。成立の条件も説明している。
【参考記事】
Meta Security Breach Exposes Corporate Code, Employee Data on GitHub（Security Boulevard）（外部）
Metaの説明をもとに、GitHubから業務用のコードと従業員のデータが持ち出された経緯を伝える記事。約1,500人への通知を報じる。
Meta says hackers accessed its GitHub, exposing personal data of 1,500 people（Digit）（外部）
SecurityWeekの報道をもとに、約1,500人の個人データと99%・1%の内訳、Metaの対応を簡潔にまとめた記事。
Personal data stolen from Meta’s GitHub: Why was it even there?（Cybernews）（外部）
個人データがなぜGitHubに置かれていたのかを問う記事。リポジトリに置くべきでないデータが置かれていた点に焦点を当てている。
