MetaのGitHubリポジトリに不正アクセス、ソースコードと約1,500人の個人情報が流出―従業員の認証情報が悪用される|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月14日更新日時: 2026年10月14日

米Metaは2026年10月13日（現地時間）、同社がGitHubで管理していた複数のリポジトリに第三者が不正アクセスし、製品関連のソフトウェアコードと約1,500人の個人情報が持ち出されたことを明らかにしました。影響を受けたのは主に米国内のMeta従業員です。

SecurityWeekの取材に応じたMeta広報担当者によると、攻撃者は従業員から盗まれた認証情報を使ってリポジトリにアクセスしました。Metaは今回の事案について、自社製品の脆弱性を突いた攻撃ではなく、Metaの社内システムも侵害されていないと説明しています。

MetaのGitHub不正アクセス・情報漏えいのサマリー

公表・報道日：2026年10月13日（米国時間）
被害組織：Meta Platforms
侵害対象：MetaがGitHub上で利用していた一部のソースコード・リポジトリ
侵入に利用されたもの：Meta従業員の窃取された認証情報
持ち出されたデータ：同社製品に関連するソフトウェアコードと、誤って保存されていた個人情報
影響人数：約1,500人。大部分は米国内のMeta従業員
持ち出されたデータの構成：Metaの説明では約99%が業務データ、約1%が個人情報。ただし比率の算定基準は示されていない
検知：2026年10月13日の公表から数週間前
対応：攻撃者のアクセス遮断、GitHub・捜査当局との連携、認証情報のローテーション、対象者への通知、保護サービスの提供

項目	内容
影響を受けた人数	約1,500人（主に米国のMeta従業員）
不正アクセス先	GitHubに保管されたMetaのリポジトリ
確認された侵入手段	従業員の盗まれた認証情報の悪用
情報の内容	製品関連コード、誤保存された個人情報
個人情報の具体的な項目	Metaは公表していない
利用者への通知開始	2026年10月13日
影響を受けた人数への支援	信用情報・ダークウェブ監視サービスの提供

従業員の認証情報を使ってリポジトリに侵入

Metaによると、外部の攻撃グループが従業員の盗まれた認証情報を利用し、GitHub上の一部リポジトリへアクセスしました。侵害は公表の数週間前に検知され、Metaのセキュリティチームは不正アクセスを遮断。GitHubおよび法執行機関と連携して調査を進めています。

今回の説明から確認できるのは、正規の認証情報が悪用されたことです。どのような方法で認証情報が盗まれたのか、パスワード、個人アクセストークン（PAT）、セッション情報のいずれが使われたのかは明らかにされていません。フィッシングやマルウェアを侵入原因と断定することはできません。

GitHub自体のサービス基盤が侵害されたことを示す発表でもありません。Metaは、GitHubに保存していた自社業務データへの不正アクセスだと位置付けています。

取得データの99%が製品関連コード、個人情報はリポジトリへの誤保存

MetaがSecurityWeekに説明した持ち出しデータの内訳は、約99%が同社の一部製品に関するソフトウェアコードなどの業務データ、約1%が個人情報というものです。割合はファイル数、容量、レコード数のどれに基づくか明示されていません。

個人情報は、本来GitHubへ保存してはならないデータでした。Metaは社内ポリシーに反してリポジトリへ追加されていたことを認めています。一方、調査で個人情報に見えたデータには、合成データや匿名化されたテストデータがかなりの割合で含まれており、攻撃者が実在する人物の情報と容易に区別できない可能性があるとしています。

ただし、テストデータが混在していることは実際の個人情報の流出リスクをなくすものではありません。約1,500人という数字は通知対象となった人数であり、約1,500万件といったデータレコード数を示しているわけではありません。また、現時点で氏名、住所、電話番号、社会保障番号など、漏えいした個人情報の具体的項目は公表されていません。

Metaは10月13日から対象者に通知、秘密情報の更新と誤保存対策を実施

Metaは10月13日に対象者への通知を開始し、関係する規制当局にも報告を進めています。影響を受けた人には、信用情報の監視およびダークウェブ監視のサービスを提供します。

技術面では、影響を受けたリポジトリ内で見つかったシークレット（認証用の秘密情報）を更新し、ソースコードの取得に伴って生じるリスクへの対策を強化しました。GitHubを利用する開発チームに対し、個人情報をリポジトリへ保存しない運用を徹底するとともに、誤ってアップロードされた利用者情報を事前検知するスキャン管理を追加する方針です。

MetaはGitHubとの調査結果から、攻撃者が当初から同社のデータだけを狙っていたとはみていないと説明しています。ただし、攻撃グループの特定や持ち出されたコードの二次利用について、確定的な情報は示されていません。

過去にはCAMPFIREでもGitHub認証情報の流出が侵害の起点に

日本国内でも、開発環境の認証情報が被害拡大の起点になった事例があります。CAMPFIREの2026年の不正アクセス事案では、従業員がGitHubの認証情報を個人開発サーバーへ保存していたことが調査で判明し、不正利用された個人アクセストークンから社内のクラウド管理領域へ侵害が波及しました。

同じく、国内のフィーチャのランサムウェア被害では、144個のGitHubリポジトリが外部へコピーされたことが調査で確認されています。今回のMetaの事案とは侵入経路や被害範囲が異なりますが、開発用リポジトリの認証情報と保管データを、通常の業務システムと同様に管理する必要性を示しています。

情報システム部門・開発部門が確認したい対策

今回の事案は、コード管理サービスへのアクセス権と、リポジトリに保管する情報の二つが論点です。

組織アカウントの認証方式とトークンを点検する。 従業員・委託先・退職者のGitHubアクセス権を確認し、PAT、SSHキー、OAuth連携、GitHub Appなどの有効な認証手段を棚卸しします。不要な権限や長期間使われていない資格情報は廃止し、フィッシング耐性のある認証手段を優先します。
不正アクセス時に認証情報を迅速に失効させる。 GitHubは2026年8月、ユーザー単位・トークン種別単位で認証情報を一括失効できる機能を拡充しました。個人アクセストークンだけでなく、OAuth・SSHなど複数の認証経路を調査対象に含めます。
コード以外のデータが保存されていないか調べる。 顧客情報、人事関連データ、テスト用の実データ、APIキー、接続文字列、証明書をリポジトリへ追加していないか検査します。プライベートリポジトリも、権限を持つアカウントが侵害されれば取得され得ます。
機密情報を見つけた場合は削除だけで完了にしない。 Gitの履歴や複製先にも情報が残ることがあるため、公開範囲を評価するとともに、漏えいした秘密情報を失効・再発行します。個人情報なら影響人数と通知要否を調査します。
監査ログを継続監視する。 GitHubの公式文書では、監査ログのWeb閲覧・エクスポート・API・外部ストリーミングにより、ユーザー、実行操作、アクセス元などを調査できます。Git操作の記録は取得方法によって保存期間が短いため、必要なログを早期に外部へ保全する設計が有効です。

リポジトリの認証情報を確認する際には、GitHub上で54万3,699件の有効な認証情報が露出した調査も参考になります。ソースコードに組み込まれる外部ライブラリや依存関係の把握については、SBOM（ソフトウェア部品表）の解説で整理しています。

また、開発者一人の資格情報管理の不備から大きな被害に発展する事例と運用上の課題は、たった一人のインシデントで情報漏えいや実被害が発生した事例と対策でも扱っています。