Apple、App Storeウェブ版のソースコードの誤公開流出に迅速対応-セキュリティリスクも|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年11月14日更新日時: 2025年11月14日

2025年11月6日、Appleは新たに公開したApp Storeのウェブ版（apps.apple.com）に関するフロントエンドのソースコードとアセットがインターネット上に出回った事態を受け、GitHubに対して著作権侵害（DMCA）に基づく削除要請を行いました。

1 誤公開の背景-本番環境でSourceMapが無効化されず流出
2 対象のリポジトリ削除を申請
3 流出コードの性質と想定されるリスク
4 二次配布・再公開に伴う法的・運用上の注意
5 サービス運営側が講じるべき現実的な対策

誤公開の背景-本番環境でSourceMapが無効化されず流出

2025年11月、App Storeのウェブ版リニューアル公開直後の本番環境でSourceMapが無効化されていなかったことが、フロントエンド一式の取得を容易にしたと報じられています。

SourceMapが有効のままだと、配布用に最適化・難読化されたバンドルから、Svelte／TypeScriptの元ソース、状態管理ロジック、UIコンポーネント、API連携コード、ルーティング設定といった開発時の資産をほぼ再構成できてしまいます。

実際に、開発者が「教育目的」として当該コードをGitHubにアーカイブしたとされ、これが大量フォークと再拡散につながりました。

流出物に機密キーや資格情報は含まれていないとされる一方、本番でSourceMapを無効化するのはビルド運用の基本であり、今回の事案は運用手続き上の不備が誘因になった点が重く受け止められます。

対象のリポジトリ削除を申請

Appleは、GitHubに対して著作権侵害（DMCA）に基づく削除要請を行いました。

GitHubの公開DMCA記録では、親リポジトリだけでなく大量のフォークを含む「ネットワーク全体」を対象に処理が行われ、合計8,270件のリポジトリが削除されたことが明記されています。流出の端緒については、外部報道で構成ミスに起因するとされ、公開直後に開発者がコード一式をパッケージ化してGitHubへアップロードしていた経緯が伝えられています。

2025年11月5日、GitHub側は、申立対象のネットワークが100件を超え、かつ「ほとんど、または大半のフォークが同程度に侵害している」との主張があることから、代表的なURL群に加えてフォーク網全体を一括で削除対象としました。

流出コードの性質と想定されるリスク

今回出回ったのはフロントエンド側のコードが中心と見られ、サーバー側の機密や社内システムの内部実装が直接含まれるとは限りません。

しかし、フロントエンドの完全な写しが第三者の手に渡ることで、本物そっくりのUIや挙動を再現した模倣サイト（フィッシング）が作られやすくなり、利用者が正規サイトと誤認する危険性が高まります。また、クライアント側で参照する公開APIのエンドポイントやパラメータの傾向、入力検証やフロー制御の癖など、攻撃者にとって偵察上の手掛かりになり得る情報が読み取られる可能性があります。

さらに、ビルド設定や機能フラグといった構成情報の断片が露見していれば、公開範囲と秘匿範囲の境界が推測され、OSINT（公開情報を用いた情報収集）の起点として悪用されるおそれも否定できません。