CAMPFIRE、システム管理用GitHubアカウントに不正アクセス——ソースコード閲覧＋DB内部処理の痕跡、10.8万件超の個人情報流出のおそれ

項目	内容
発生日	2026年4月2日22時50分ごろ不正アクセス、2026年4月28日公表
対象組織・業界	株式会社CAMPFIRE（クラウドファンディングサービス「CAMPFIRE」運営）
攻撃手法	システム管理用GitHubアカウントへの不正アクセス、ソースコード閲覧、外部からDBへの不正処理実行
情報源	Security NEXT（2026年4月28日）

概要

株式会社CAMPFIREは、システム管理用のGitHubアカウントに第三者による不正アクセスが発生し、ソースコード閲覧に加え、外部からデータベースに対して内部処理が実行された痕跡が確認されたと2026年4月28日に公表しました。

閲覧・処理可能となっていた個人情報の内訳:

• 過去利用者（プロジェクトオーナー・コミュニティオーナー）の個人情報 10万8,784件（氏名・住所・電話番号・メールアドレス）
  • このうち 5万3,868件 は口座情報を含む
• 開発関係者情報 413人分
• 取引先情報 1件

同社は「顧客データのダウンロードが行われた形跡は確認されていない」「不正利用被害の報告もない」としつつ、外部協力のもと調査を継続しています。

経緯

• 2026年4月2日 22時50分ごろ: システム管理用GitHubアカウントへの不正アクセス発生
• その後: 第三者がソースコードを閲覧、外部からデータベースに対して内部処理を実行
• 検知後: 外部専門機関と連携して調査を開始
• 2026年4月28日: 公式に公表

原因

公式発表時点では、GitHubアカウントへの不正アクセス経路（フィッシング／認証情報流出／MFA突破など）の詳細は公表されていません。「侵害された経緯や影響範囲について引き続き調査を進めている」段階です。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、CAMPFIREが公表したものではありません。

1. 管理者IDの認証情報流出: パスワード再利用・情報窃取型マルウェア（インフォスティーラ）で開発者PCから認証情報が漏れた可能性。近年、GitHub/GitLab等の開発基盤アカウント窃取が急増しています
2. MFA未適用または回避（AiTM）: 管理用GitHubアカウントにMFAが適用されていなかった、またはリアルタイムフィッシングで突破された可能性
3. ソースコードからDBへ: GitHubで閲覧できたソースコード中に、DBへ到達可能な認証情報・APIキー・接続文字列が含まれていた可能性——これが「外部からDBに対して内部処理」に繋がった構造仮説

対策

組織が学ぶべきこと

1. 開発基盤アカウントを「本番同等」に守る: GitHub/GitLab/Bitbucket などの開発基盤アカウントは、ソースコード＋シークレット＋インフラ設定を握る本番同等の重要資産です。管理者アカウントはハードウェアトークンMFA、SSO連携、IPアクセス制限、監査ログ外部出力が最低限のセットになります。

2. リポジトリ内シークレットの徹底排除: 「ソースコードを見られただけ」で被害が拡大するのは、リポジトリ内にDB接続情報・APIキー・秘密鍵が残っているためです。シークレットスキャン（GitHub Advanced Security・trufflehog等）を継続運用し、既存リポジトリの棚卸しをやることで、この経路をふさげます。

3. DB側の「Where句・APIコール」異常検知: 攻撃者がDBに「内部処理」を実行できた事実は、DB層に到達できる経路が生きていたことを意味します。通常業務では発生しないSQLパターン・APIコール量・接続元IPを検知する仕組みが、事後の被害拡大を止める鍵になります。

ヤグラの視点 — 影響範囲の特定、10.8万件は「見られた」のか「持ち出された」のか

CAMPFIREの発表で注目すべきは、「閲覧可能になっていた」「内部処理の痕跡がある」までは確認できているが、「ダウンロードされたかどうかは確認できていない」という説明の構造です。GitHubの操作ログ・DBのクエリログ・アプリケーションログ・ネットワークのフローログ——これらを突き合わせて初めて、「攻撃者は何を持ち出したか」を数字で語れるようになります。ログが分断されていたり、保存期間が短ければ、「10.8万件が漏れたかもしれない」という不確実性で公表せざるを得ません。影響範囲を『10.8万件』から『実際に持ち出された件数』へ絞り込めるかどうかは、顧客への説明・カード会社との連携・行政報告のすべてに直結する能力です。ログを人手で追いかけるのは非現実的で、AIによる横断調査と自然言語での「何が起きたか」の要約が、この能力の実現手段になります。（関連: ヤグラ AI SOC）

今後の対応

不正アクセスの侵入経路の特定、実際にダウンロードされた情報の有無・件数、対象者への通知進捗、GitHubアカウント管理・シークレット管理の見直し方針に関する続報を注視し、判明次第、本記事に追記します。

更新履歴

日時	内容
2026-04-28	第一報を公開