漏えいの可能性2026.06.02 調査結果

CAMPFIREの情報漏えい

クラウドファンディングのCAMPFIREで、従業員のGitHub認証情報が個人開発用のサーバーに意図せず置かれ、それを使った不正アクセスから約22.6万件の個人情報が漏えいした可能性がある。

会社の鍵は、会社の外に持ち出させない。

公表された内容

規模: 225,846件（ユニーク）
情報: 一部プロジェクトオーナー等の氏名、住所、電話番号、メールアドレス、口座情報（口座情報を含むもの 53,869件）
原因: 従業員が発行したGitHubの個人用アクセストークンが、個人開発用のサーバー上に意図せずアップロードされ、不正利用された。そこから社内クラウドの管理領域へ侵害が広がった。

起点は、従業員が発行したGitHubの個人用アクセストークン（PAT）だった。これが個人開発で使っていたサーバーに意図せずアップロードされ、攻撃者に見つかって使われた。

攻撃者はまずトークンで会社のGitHubに入り、そこから社内の業務用クラウドの管理領域へと侵害を広げた。GitHubからクラウドへどう進んだかの詳細は公表されていないが、1本のトークンが2段階の侵害の起点になった。

会社の権限を持つトークンが、会社の管理外である個人の環境に置かれていた。仕事と個人の作業の境目から漏れた事案といえる。

公表された手口に対して、一般に効果のある対策をセキュリティの観点で整理したものです。この組織が実際にどの対策を取っていたかを示すものではありません。

GitHubの「細かく権限を絞れるトークン（fine-grained PAT）」を使い、触れるリポジトリと操作を必要な分だけにし、有効期限を短くする。組織の設定で、期限なしのトークンや古い形式のトークンを禁止できる。

GitHubのシークレットスキャンとプッシュ保護を有効にすると、トークンを含むコードの送信を止められる。個人の環境は会社の管理が届かないので、そもそも会社の権限を持つトークンを個人の環境で使わない決まりも要る。

見慣れない場所からのトークン利用、リポジトリの大量取得、設定の変更をアラートの対象にする。組織の監査ログはSIEMなどに送って保存しておく。

デプロイなどでクラウドに接続するときは、長く使える鍵を保存せず、GitHub ActionsのOIDC連携のような短時間だけ有効な認証に切り替える。GitHubに入られても、クラウドの管理領域へ進む足がかりが残らない。

内容は公表時点のものです。続報で変わることがあるため、最新の状況は公式発表で確認してください。