株式会社イノベーション、GitHub認証情報漏洩後に不正アクセス最大6万件の個人情報流出の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月05日更新日時: 2026年08月05日

株式会社イノベーション、GitHub認証情報の漏えいで不正アクセス最大6万件の個人情報流出の恐れ

株式会社イノベーションは2026年8月4日、ソフトウェア開発・システム管理に利用している『GitHub』の認証情報が漏えいし、第三者による不正アクセスが発生したと公表しました。ソースコードおよびリポジトリに含まれていたファイル内の個人情報の一部が流出した可能性があり、最大約6万件の氏名・メールアドレスが対象になるとしています。GitHubの認証情報漏えいを起点とする同種の事案は、2026年に入りマネーフォワードやCAMPFIREでも相次いで公表されており、今回もそれらと共通するパターンが見られます。

この記事のサマリー

株式会社イノベーションは2026年8月4日、GitHubの認証情報漏えいによる不正アクセスの発生を速報として公表しました。
漏えいした可能性のある個人情報は、最大約6万件の氏名・メールアドレスと、そのうち一部の方の電話番号です。
対象となる情報の項目・件数は精査中で、確認が完了次第、続報が公表される予定です。
同社は不正アクセスの経路となった認証情報の無効化・アカウントの遮断を完了し、ソースコードに含まれていた各種認証キー・パスワードの無効化と再発行もおおむね完了させています。
GitHubの認証情報漏えいを起点とする不正アクセスは、2026年4月のCAMPFIRE、5月のマネーフォワードの事案でも確認されており、いずれも当初の想定より被害範囲が拡大した経緯があります。

整理表

項目	内容
公表日	2026年8月4日（速報）
公表企業	株式会社イノベーション
原因	GitHubの認証情報の漏えいによる第三者の不正アクセス
漏えいした可能性のある情報	最大約60,000件の氏名・メールアドレス、うち一部の電話番号
対象範囲の確定状況	精査中、確認完了後に続報予定
対応（完了）	不正アクセス経路の認証情報の無効化、アカウントの遮断
対応（概ね完了）	ソースコードに含まれる認証キー・パスワードの無効化と再発行
対象者への連絡	該当者へメール等で個別連絡予定
問い合わせ窓口	株式会社イノベーション個人情報お問い合わせ窓口（[email protected]）

何が起きたか

イノベーションによると、同社グループがソフトウェア開発およびシステム管理に利用しているGitHubの認証情報が漏えいし、これを用いた第三者による不正アクセスが発生しました。調査の結果、ソースコードおよびリポジトリに含まれていたファイル内に記載されていた個人情報の一部が、外部に流出した可能性があることが確認されています。

事象の発覚後、同社は追加被害を防ぐため、不正アクセスの経路となった認証情報の無効化とアカウントの遮断を完了させました。あわせて、ソースコードに含まれていた各種認証キー・パスワードについても、無効化と再発行をおおむね完了させています。

原因

現時点で公表されている情報では、GitHubの認証情報が何らかの経緯で漏えいし、これを第三者が悪用してリポジトリへ不正にアクセスしたことが原因とされています。認証情報がどのような経緯で外部に渡ったのか、フィッシングによるものか、他のサービスからの認証情報の流用によるものかなど、具体的な侵入の起点については本記事執筆時点で明らかにされていません。

漏えいした可能性のある情報

現時点で判明している範囲では、リポジトリに含まれていたファイル内に記載されていた氏名・メールアドレスが最大約60,000件、このうち一部の方については電話番号も対象になる可能性があるとされています。対象となる情報の項目や正確な件数については現在精査が進められており、確認が完了次第、続報で公表される予定です。該当する可能性のある顧客には、メール等で個別に連絡するとしています。

同社の対応

イノベーションは、不正アクセスの経路となった認証情報の無効化とアカウントの遮断を完了し、ソースコードに含まれていた認証キー・パスワードの無効化と再発行もおおむね完了させています。今後、開示すべき新しい事実が判明した場合や、各サービスの稼働に影響が生じる場合には速やかに開示するとしており、原因調査とあわせて、安全性の強化・再発防止に向けた取り組みを進めるとしています。

過去の類似事例：マネーフォワード・CAMPFIREのGitHub不正アクセス事案との比較

GitHubの認証情報漏えいを起点とする不正アクセスは、2026年に入ってから国内で複数公表されており、いずれも公表当初の想定より被害範囲が拡大していく経過をたどっている点が共通しています。

CAMPFIREの事案では、2026年4月3日にGitHubアカウントへの不正アクセスを公表した時点では、一部ソースコードが閲覧された可能性があるという内容にとどまっていました。しかし調査が進むにつれ、4月14日の第二報では取引先1先と従業員・退職者・業務委託先を含む413人分の氏名・メールアドレスが対象に加わり、4月22日の第三報では顧客情報管理システムの一部にも不正アクセスの痕跡が確認され、最終的に4月24日の第四報では、口座情報を含む最大225,846件の個人情報漏洩の可能性が確定しています。

同社と業務委託関係にあった横浜DeNAベイスターズの支援者情報にも影響が及んだことも確認されています。

詳細はCAMPFIRE、GitHubへの不正アクセスによるサイバー攻撃で最大22万5,846件の個人情報漏洩の恐れで解説しています。

マネーフォワードの事案では、2026年5月1日の第一報でビジネスカード情報370件とソースコード流出の可能性が公表され、銀行口座連携機能が一時停止されました。その後の調査で本番データベースへの侵害はないことが確認されたものの、全面的な口座連携の再開までには約35日を要しています。同社は最終的に、個人情報の入力を想定していないはずのGitHub上のソースコードに、更新作業の過程で個人情報を含むファイルが誤って保管されていたことを原因として説明しており、6月23日の第四報（最終報）では従業員2,300名・顧客固有識別子60,449名分の情報漏洩の恐れが確定しています。

詳細はマネーフォワード、GitHubへの不正アクセスでビジネスカード情報370件・ソースコード流出の可能性、マネーフォワードが約35日ぶりに全銀行口座連携を再開——GitHub不正アクセスの全経緯、マネーフォワード、不正アクセス調査完了——従業員2,300名・顧客固有識別子60,449名分の情報漏洩の恐れが確定をご参照ください。

今回のイノベーションの事案は、速報段階で最大約60,000件という数字が示されている点で、結果的に確定した被害規模がマネーフォワードの事案（60,449名）に近い水準になっている点が目を引きます。ただし、これはあくまで速報段階の数字であり、CAMPFIRE・マネーフォワードのいずれの事案でも、続報を重ねる中で対象範囲が変動した経緯があることから、確定情報は今後の続報を待つ必要があります。

項目	イノベーション（速報時点）	マネーフォワード（最終確定）	CAMPFIRE（最終確定）
公表開始日	2026年8月4日	2026年5月1日	2026年4月3日
原因	GitHub認証情報の漏えい	GitHub認証情報の漏えい	GitHubアカウントへの不正アクセス
被害の起点	リポジトリ内ファイルに記載の個人情報	更新作業時に誤って保管された個人情報ファイル	GitHub経由での内部データベースへの侵入
対象人数（本記事執筆時点）	最大約60,000件（精査中）	従業員2,300名・顧客固有識別子60,449名分（確定）	最大225,846件、うち口座情報82,465件（確定）
基幹サービスへの影響	本記事執筆時点で不明	銀行口座連携機能を約35日間停止	本記事執筆時点で大規模なサービス停止は確認されず

情報システム部門が確認すべき対策ポイント

GitHubなど開発基盤に用いる認証情報（Personal Access Token、OAuthアプリ、GitHub Actionsのシークレット等）を定期的に棚卸しし、不要になったトークンを無効化してください。退職者・異動者のアクセス権が残存していないかもあわせて確認してください。
本番環境のデータやテスト・デバッグ・マイグレーション作業で使用したファイルが、誤ってリポジトリにコミットされていないかを確認してください。マネーフォワードの事案が示すとおり、GitHub自体のアクセス制御だけでなく、開発作業のフローに個人情報が混入する経路がないかという上流の点検も必要です。
リポジトリ内に認証キーやパスワードがハードコードされていないか、シークレットスキャンの仕組みを導入・運用しているかを確認してください。漏えいが発生した場合には、該当する認証キー・パスワードの無効化と再発行を速やかに行える体制を整えておくことをおすすめします。
自社のGitHub Organization・Enterpriseの監査ログを定期的に確認し、想定外のアクセスやリポジトリのクローンが発生していないかを監視してください。
GitHub上のリポジトリが、顧客情報を扱う本番システムや金融機関連携などの基幹機能と、どの程度独立しているかをあらためて確認してください。マネーフォワードの事案では、本番データベースへの直接的な侵害がなかったにもかかわらず、口座連携機能が長期間停止しています。