マネーフォワードのGitHubリポジトリへの不正アクセス
- カテゴリ
- 不正アクセス
マネーフォワードの2026年5月1日の発表によると、ソフトウェア開発とシステム管理に利用するGitHubの認証情報が漏えいし、その認証情報を使った第三者の不正なアクセスで、GitHub内のリポジトリがコピーされた［1］。6月23日の第四報では、リポジトリに含まれる個人情報の範囲の精査を終えたと説明した［4］。
経緯
マネーフォワードは第一報で、GitHubを米国GitHub社が提供するソースコード管理サービス、リポジトリを「プログラムの設計図が入っている保管庫」と注記した［1］。『マネーフォワード クラウド』のサポートサイトの告知では、グループが提供するサービスのソースコードが閲覧された可能性が判明した［5］。
サポートサイトの告知に加えたQ&Aでは、通常はソースコードに個人情報を入力しない［5］。個人情報の取り扱いを伴うサービスの更新作業の過程で、個人情報が含まれたファイルが本来の管理手順から外れ、誤ってGitHub上に保管されていた［5］。マネーフォワードはこれを、コーポレートサイトのお知らせに記載した事象の原因だと説明した［5］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | マネーフォワード | 第一報を出した | ［1］ |
| 2026年 | マネーフォワード | 『マネーフォワード クラウド』のサポートサイトで、不正アクセスの告知と、API連携をおこなうすべての金融機関との連携の一時停止の告知を公開した | ［5、6］ |
| 2026年 | マネーフォワード | サポートサイトの告知にQ&Aを追記した | ［5］ |
| 2026年 | マネーフォワード | 第二報を出した | ［2］ |
| 2026年 | マネーフォワード | 第三報を出し、最終確認が完了した金融機関との連携を再開した | ［3］ |
| 2026年 | マネーフォワード | 『マネーフォワード ME』のプレミアムサービス利用者の購読期間を15日間延長すると発表した | ［15］ |
| 2026年 | マネーフォワード | すべての信用金庫との連携を再開した | ［7］ |
| 2026年 | マネーフォワード | すべての金融機関との口座等連携機能を再開した | ［7］ |
| 2026年 | マネーフォワード | 第四報を出した | ［4］ |
| 2026年 | マネーフォワード | 2026年11月期第2四半期の決算説明資料を公表した | ［13］ |
影響範囲
第一報によると、ソースコードと、リポジトリに含まれていたファイルに記載されていた個人情報の一部が流出した可能性がある〔注3〕［1］。対象は、マネーフォワードケッサイが提供する『マネーフォワード ビジネスカード』に関わる370件の「カード保持者名（アルファベット）」と「カード番号の下4桁」だった［1］。クレジットカード番号の全桁、有効期限、セキュリティコード（CVV）の流出は確認されていないとした［1］。
| 区分 | 人数 | 内訳 | 資料 |
|---|---|---|---|
| 顧客の氏名またはメールアドレス | 124名分 | 氏名100件、メールアドレス24件 | ［4］ |
| 取引先に関する情報 | 28名分 | 氏名5件、メールアドレス23件 | ［4］ |
| 従業員（退職者を含む）に関する情報 | 2,300名分〔注1〕 | システム上の固有識別子373件、氏名490件、メールアドレス1,807件、電話番号305件 | ［4］ |
| 顧客の、単体で個人を特定できない固有識別子 | 60,449名分 | ユーザーを区別するためのシステム上の管理用番号（最大19桁の数字） | ［4］ |
マネーフォワードは第四報で、この固有識別子はログイン等で使う「ユーザーID」とは異なり、氏名やメールアドレスなどを含まないと説明した［4］。識別子だけでは特定の個人を直接識別できないが、個人情報保護法の規定に厳格に従い、公表と対象者への通知を行う［4］。
5月11日の第二報では、詳細な調査の結果として、本番データベースに格納された顧客情報の漏えいや、情報の不正利用等の被害が無いことを確認した［2］。本番データベースへの侵害や改ざんも無く、利用者にパスワード変更等を頼む事項は無い［2］。第四報では、個人情報の流出はGitHub上のリポジトリに含まれていたものに限られることを改めて確認した［4］。流出した可能性のある個人情報の不正利用等の二次被害と、そのおそれは確認されていないとした［4］。
サポートサイトのQ&Aでは、漏えいした可能性のある情報に、金融機関等の連携先へのログインに必要な情報は含まれていない［5］。マネーフォワードは、これに起因する金融機関等への不正ログインのおそれは無く、不正ログインも確認されていないと説明した［5］。
ITmedia NEWSは5月11日の記事で、マネーフォワードは連携先のログインに必要な情報をソースコードの一部ではなく本番環境のデータベースに暗号化して保存し、アクセス制限を設けていると報じた［10］。
ITmedia NEWSは6月2日の記事で、スクレイピング方式で預かるのは残高・明細の取得に必要なログイン情報で、資金移動に必要な追加認証情報や乱数表などは保管していないと報じた［16］。預かったデータと認証情報は、不正アクセスを受けた環境とは切り離したサーバに暗号化して保存している［16］。
グループ会社のマネーフォワードケッサイの5月1日の告知では、『マネーフォワード 掛け払い』（提携ブランドサービスを含む）と『マネーフォワード 早期入金』で、本事象による影響は確認されていない［8］。マネーフォワードiは5月19日の告知で、今回の不正アクセスの影響を受けていないことを確認しており、顧客のデータの漏洩やソースコードの流出は発生していないとした［14］。
対応と現状
認証情報と開発環境の対策
マネーフォワードの第一報では、不正アクセスの経路となった認証情報の無効化とアカウントの遮断は完了し、ソースコードに含まれる各種認証キー・パスワードの無効化と再発行は概ね終わっていた［1］。
マネーフォワードは第二報で、流出した可能性のあるアラート通知等の認証情報の無効化と再発行と、予防的措置としての全社的な認証情報の刷新を完了したと説明した［2］。これによる金融機関ログイン情報等への影響は無い［2］。流出した可能性のあるソースコードにはセキュリティ検査を再度実施し、その結果に基づく追加の対応をした［2］。
| 公表 | 内容 | 資料 |
|---|---|---|
| 第二報 | GitHubへのアクセスに使う認証情報の発行と運用のルールを見直し、必要最小限の権限による厳格な管理体制へ移した | ［2］ |
| 第二報 | リポジトリへの保存時に機密情報が含まれていないかを機械的に監視する仕組みを開発プロセスに組み込んだ | ［2］ |
| 第二報 | 本番環境の24時間監視体制に加え、開発環境でもリアルタイム監視体制を構築・強化した | ［2］ |
| 第四報 | 発端となった認証情報の漏えいへの対策として、業務端末のセキュリティ統制をさらに強化した | ［4］ |
| 第四報 | 安全な通信統制基盤を導入し、認可外の外部サイトやクラウドサービスへのアクセスをシステム的に遮断する仕組みを構築した | ［4］ |
| 第四報 | 開発環境での個人情報の取り扱いに関する社内体制を整備し、従業員教育を徹底した | ［4］ |
銀行口座連携の停止と再開
マネーフォワードの第一報では、サービスの安全運営に支障はないと考えているとした［1］。銀行口座連携機能は、銀行法に基づく電子決済等代行業者としての責任と、各提携金融機関との安全性の確認を万全にするために一時的に止めた［1］。Q&Aによると、グループ会社を含む全社共通のシステム開発・管理体制での事象のため、『マネーフォワード ME』でも銀行API連携の一時停止などの安全対策を全社的に講じた［5］。
マネーフォワードは『マネーフォワード クラウド』の利用者向けの連携停止の告知で、停止中はAPI連携を使った明細の取得や振り込みができないと知らせ、CSVファイルのインポートによる明細の反映や、FBデータによる振り込みを求めた［6］。
ITmedia NEWSは、5月7日10時30分には銀行以外でも三井住友カードやセゾンカード、三菱UFJモルガン・スタンレー証券などとの連携が「システム対応中」で、自動更新も手動更新もできない状態だったと報じた［9］。
再開の進捗を載せたサポートサイトのページでは、「※要再認証」と記した金融機関は、再開後に再認証の操作が要る［7］。再開後は停止期間中の明細も遡って取得され、手入力の仕訳と重複してもアラートは出ない［7］。
ITmedia NEWSは、マネーフォワードの説明として、5月29日時点の再開率が99％を超えたと報じた［16］。マネーフォワード広報部は連携を止めた理由を、「ソースコードの分析により、将来的に脆弱性を突いた二次攻撃を受ける潜在的リスクを排除しきれなかった」と話した［16］。
同じ記事によると、電子決済等代行業に関する法令・契約の枠組みの対象となる提携金融機関ではAPIもスクレイピングも一律に止め、対象外の金融機関とは個別の協議で対応した［16］。広報部は、再開には接続先の金融機関に「客観的な安全性を担保し、評価・納得をいただくプロセスが（契約で）義務付けられている」と述べた［16］。個人向けの『マネーフォワード ME』には、銀行口座連携の代替機能が無い［16］。
ITmedia NEWSは6月9日の記事で、5月1日の全面停止から35日ぶりの全面再開だったと報じた〔注2〕［11］。6月8日17時にも、ポイント関連サービスを中心に一部の連携が「対応中」で、「ユナイテッド航空マイレージ」など3サービスは再開の目途が立っていなかった［11］。マネーフォワードはこの3サービスについて、「今後の状況によっては連携を終了する可能性がある」としていると同じ記事は報じた［11］。
当局への報告と補償
マネーフォワードは第二報で、発覚後すぐに対策本部を設置し、個人情報保護委員会に法律に基づく報告（速報）を行ったと説明した［2］。関東財務局をはじめとする監督官庁に事象の発生と調査状況を報告し、管轄の警察署への相談も始めた［2］。外部のセキュリティコンサルティング会社の第三者評価では、二次被害への予防策と本番データベースへの侵害が無いことについて、講じた対策の妥当性の確認を受けた［2］。
マネーフォワードは6月23日付で、個人情報保護委員会と事業所管大臣（金融庁等）に、個人データの漏えい等に関する確定報告を提出した［4］。該当する顧客には、第一報でメール等による個別の連絡を予告していた［1］。対象と確認できた人のうち、連絡先を把握している個人・事業者への個別の案内は、第四報までに済んでいた［4］。
マネーフォワードは第二報で、補償等の対応を検討中とした［2］。ITmedia NEWSの5月20日の記事によると、プレミアムサービスの購読期間の延長の対象は、5月1日〜12日の停止期間にプレミアムサービスを利用していたユーザーである［15］。延長の適用は順次進め、遅くとも7月1日以降の購読更新までに終える予定だ［15］。システムの仕様上延長できない場合は、プレミアムサービスを15日間利用できるクーポンで対応する［15］。
ITmedia NEWSは同じ記事で、マネーフォワードが口座連携機能の一時停止はプレミアムサービス利用規約の第9条（サービス継続性保証）に抵触しないとしつつ、『マネーフォワード ME』では同機能が最重要機能の1つであることから延長を決めたと報じた［15］。
業績への影響
マネーフォワードは2022年4月、市場区分の見直しに伴い東京証券取引所プライム市場へ移行した［12］。決算説明資料によると、Homeセグメントの銀行口座連携機能の停止期間相当のプレミアムサービス有効期間の延長により、最大売上1.5億円が減少する見込みである［13］。この影響は3Qに最も大きく表れた後、分散して発現する予定である［13］。
不正アクセス対応費用として、第2四半期に0.9億円の特別損失を計上し、費用の一部は保険で求償する予定だ［13］。マネーフォワードは、セキュリティへの投資を強化するものの、好調なトップラインとコストコントロールによりガイダンスは達成する見込みで、Businessセグメントへの影響は軽微だとした［13］。
未公表の事項
注
出典
当事者
- ［1］株式会社マネーフォワード『『GitHub』への不正アクセス発生に関するお知らせとお詫び（第一報）』（2026年5月1日公開）
- ［2］株式会社マネーフォワード『『GitHub』への不正アクセスに関する調査進捗および銀行口座連携再開に向けた経過のご報告（第二報）』（2026年5月11日公開）
- ［3］株式会社マネーフォワード『銀行口座連携の順次再開に関するお知らせ（第三報）』（2026年5月12日公開）
- ［4］株式会社マネーフォワード『GitHubへの不正アクセスに関する詳細調査の完了およびセキュリティ対策強化のお知らせ（第四報）』（2026年6月23日公開）
- ［5］株式会社マネーフォワード『【重要】「GitHub」への不正アクセス発生に関するお知らせとお詫び（2026年6月23日追記）』（2026年5月1日公開、2026年6月23日更新）
- ［6］株式会社マネーフォワード『【重要】金融機関とのAPI連携一時停止に関するお知らせ（2026年5月11日追記）』（2026年5月1日公開、2026年5月11日更新）
- ［7］株式会社マネーフォワード『【重要】金融機関との銀行API連携再開に向けた進捗について（6月5日更新）』（2026年5月11日公開、2026年6月5日更新）
- ［8］マネーフォワードケッサイ株式会社『株式会社マネーフォワードにおける情報流出に関するお知らせとお詫び』（2026年5月1日公開）
- ［13］株式会社マネーフォワード『Financial Results Fiscal Year 2026 Q2 Ended May 31, 2026（2026年11月期 第2四半期 決算説明資料）』（2026年7月13日公開、PDF、適時開示）
- ［14］マネーフォワードi株式会社『グループ会社における不正アクセスと当社（マネーフォワードi株式会社）への影響について』（2026年5月19日公開、2026年10月6日更新）
報道機関
- ［9］アイティメディア株式会社『マネーフォワード、銀行連携の停止続く 不正アクセスから約1週間 再開は「安全性の確認が完了次第」』（2026年5月7日公開）
- ［10］アイティメディア株式会社『マネーフォワード「なぜGitHubに個人情報が含まれていたか」を説明』（2026年5月11日公開）
- ［11］アイティメディア株式会社『マネーフォワード、35日ぶり銀行連携を全面再開』（2026年6月9日公開）
- ［15］アイティメディア株式会社『マネーフォワード、銀行連携の一時停止で補償発表 プレミアム利用者向けに購読期間を15日延長へ』（2026年5月20日公開）
- ［16］アイティメディア株式会社『マネーフォワードの銀行連携、再開率99％超でも「完全復旧」に至らないワケ』（2026年6月2日公開）
背景資料
- ［12］株式会社マネーフォワード『会社概要 / 沿革』（公開日不明、2026年11月5日閲覧）
更新記録
- 2026年5月10日：公開した。
- 2026年5月11日：マネーフォワードの第二報（出典2）とITmedia NEWSの5月11日の記事（出典10）を加え、時系列・影響範囲・対応と現状の節を改めた。
- 2026年5月12日：第三報（出典3）と『マネーフォワード クラウド』のサポートサイトの再開の進捗のページ（出典7）を加え、時系列と対応と現状の節を改めた。
- 2026年5月19日：マネーフォワードiの告知（出典14）を加え、影響範囲の節を改めた。
- 2026年5月20日：ITmedia NEWSの5月20日の記事（出典15）を加え、時系列と対応と現状の節を改めた。
- 2026年6月1日：再開の進捗のページ（出典7）の6月1日の更新で示された信用金庫との連携の再開を時系列に加えた。
- 2026年6月2日：ITmedia NEWSの6月2日の記事（出典16）を加え、影響範囲と対応と現状の節を改めた。
- 2026年6月5日：再開の進捗のページ（出典7）の6月5日の更新で示されたすべての金融機関との連携の再開と追記の時刻を時系列と注に加えた。
- 2026年6月9日：ITmedia NEWSの6月9日の記事（出典11）を加え、対応と現状の節と注を改めた。
- 2026年6月23日：第四報（出典4）を加え、リード・時系列・影響範囲・対応と現状・未公表の事項・注の節を改めた。
- 2026年7月13日：決算説明資料（出典13）を加え、時系列と対応と現状の節と注を改めた。
- 2026年10月6日：マネーフォワードiの重要なお知らせの一覧（出典14）の10月6日の更新に合わせ、出典の節の注記を改めた。