イノベーション、GitHubへの不正アクセスで62,691名分の個人情報漏洩が確定認証情報のハードコーディングと個人情報のリポジトリ保存という「独立した2つの問題」|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月10日更新日時: 2026年08月10日

株式会社イノベーションは2026年8月7日、8月4日に速報として公表していたGitHubへの不正アクセスについて、詳細調査が完了したとして確定報を公表しました。リポジトリに含まれていた個人情報の漏えいが確認された件数は62,691名分で、氏名・メールアドレス・一部の電話番号が対象です。同社は原因として、認証情報の管理方法の不備と、個人情報がリポジトリ内に保存されていたことという、性質の異なる2つの問題を挙げています。

この記事のサマリー

公表日：2026年8月7日（確定報）
前回発表：2026年8月4日（速報）
漏えいが確認された件数：62,691名分
内訳：氏名62,631件、メールアドレス62,691件、電話番号506件
本番データベースへの不正アクセスや、本番環境からの情報漏えいは確認されていない
原因（1）：GitHubへアクセスするための認証情報が、プログラムの設定ファイル内に直接記載された状態で運用されていた
原因（2）：本来データベース等で厳重に管理すべき個人情報の一部が、GitHub上のリポジトリ内にも保存されていた
対応：悪用された認証情報の無効化（完了）、認証情報の権限・発行ワークフローの見直し（完了）、レビュールールの見直し・強化（完了）、リポジトリへのアクセス監視強化（完了）、個人情報を含むデータをリポジトリに保存しない運用ルールへの見直しと既存リポジトリの点検・是正（完了）、個人情報の混入を検知する仕組みの導入（完了）、混入を未然に防ぐ自動チェックの導入（対応中）
二次被害：現時点で確認されていない
関係当局への確定報告：期限内に提出予定

前回発表からの経緯

イノベーションは2026年8月4日、GitHubの認証情報漏えいによる不正アクセスの発生を速報として公表していました。この時点では、漏えいした可能性のある情報として最大約6万件の氏名・メールアドレスと、そのうち一部の電話番号という、精査中の概算数値が示されていました。詳細は株式会社イノベーション、GitHub認証情報漏洩後に不正アクセス最大6万件の個人情報流出の恐れで解説したとおりです。

今回の確定報では、精査の結果、漏えいが確認された件数が62,691名分（氏名62,631件、メールアドレス62,691件、電話番号506件）と確定しています。

速報時点の「最大約6万件」という見込みと、ほぼ近い水準で確定した形です。あわせて、本番データベースへの不正アクセスや、本番環境からの情報漏えいは確認されておらず、漏えいはGitHub上のリポジトリに含まれていた情報に限定されることが改めて確認されています。

問題点—独立した2つの原因

イノベーションが今回の確定報で示した最大の特徴は、原因を単一の問題としてではなく、性質の異なる2つの独立した問題として整理している点です。

問題点1：認証情報のハードコーディング

社内の開発システムの一部において、外部サービス（GitHub）へアクセスするための認証情報が、プログラムの設定ファイル内に直接記載された状態、いわゆるハードコーディングされた状態で運用されていました。この認証情報を第三者が不正に取得し、悪用したことが、今回の不正アクセスの直接の原因とされています。認証情報をソースコードや設定ファイルに直書きする運用は、その認証情報がリポジトリの閲覧権限を持つ人物や、リポジトリが何らかの経路で外部に漏れた場合に、そのまま悪用可能な状態になってしまうという、開発現場で繰り返し指摘されてきた典型的なリスクです。

問題点2：個人情報のリポジトリ内保存

本来、個人情報は厳重に管理されたデータベース等でのみ保管すべきものですが、社内の分析・開発作業の過程で、一部の個人情報がGitHub上のリポジトリ内にも保存されている状態になっていました。このため、問題点1の不正アクセスの結果として、個人情報の流出につながっています。

イノベーション自身も、この2点が独立した要因であるため、再発防止策についても単一の対策に頼るのではなく、それぞれに対応する形で講じたと説明しています。この整理は、原因分析として妥当なアプローチです。仮に認証情報の管理を徹底していても、個人情報がリポジトリ内に置かれている状態が残っていれば、別の経路での漏えいリスクは解消されません。逆に、個人情報をリポジトリから排除していても、認証情報の管理に不備があれば、ソースコードや設計情報など、個人情報以外の機密情報が漏えいするリスクは残ります。

他社事例との共通点

問題点2（個人情報が本来保存されるべきでない場所に保存されていたこと）は、当サイトが以前報じたマネーフォワードのGitHub不正アクセス事案とも共通する構造です。マネーフォワードの事案では、更新作業の過程で個人情報を含むファイルが誤ってリポジトリに保管されていたことが原因として説明されており、GitHub自体のアクセス制御だけでなく、開発作業のフローに個人情報が混入する経路がないかという、上流の点検が必要であることを示していました。今回のイノベーションの事案でも、同種の教訓が改めて確認された形です。

再発防止策

イノベーションは、問題点1・2それぞれに対応する形で、再発防止策を実施しています。

問題点1への対策として、悪用された認証情報を無効化・停止済みで、同一の認証情報を用いた再侵入は発生しない状態にあるとしています。あわせて、認証情報（アクセストークン）自体の権限や発行ワークフローを見直し、組織全体で統制された仕組みへの切り替えを完了させたとしています。レビュールールの見直し・強化や、リポジトリへのアクセス状況の監視強化も完了しており、不審なアクセスを早期に検知できる体制を整えたとしています。

問題点2への対策としては、個人情報を含むデータをリポジトリに保存しない運用ルールへの見直しと、既存リポジトリの点検・是正を完了させています。技術面では、新たに個人情報がリポジトリへアップロードされた場合にこれを検知する仕組みを導入済みで、混入を未然に遮断する自動チェックの仕組みについても導入を進めているとしています。

情報システム部門が確認すべき対策ポイント

自社の開発リポジトリ内に、APIキーやアクセストークン等の認証情報がハードコーディングされていないか、シークレットスキャンツールを用いて点検してください。
認証情報の発行・権限管理が、個人や特定チームに閉じた運用になっていないか、組織全体で統制されたワークフロー（発行申請、有効期限管理、定期的な棚卸し）になっているかを確認してください。
リポジトリ内に個人情報を含むファイル（顧客データのエクスポート、テスト用データ、ログファイル等）が混入していないか、既存リポジトリを点検してください。
個人情報がリポジトリへ新たにアップロードされることを検知・遮断する自動チェックの仕組み（プレコミットフック、CI/CDパイプラインでのスキャン等）の導入を検討してください。
「認証情報の管理」と「機密データの保存場所」は独立した問題であるという整理を踏まえ、自社のセキュリティ点検も、単一の対策で終わらせず、複数の経路を個別に検証する設計にしてください。