2026年5月、マネーフォワードは、同社グループが利用しているGitHubに対して第三者による不正アクセスが発生したと発表しました。原因は、GitHubの認証情報が外部に漏えいしたこととされています。
この不正アクセスにより、GitHub上のリポジトリがコピーされ、ソースコードや一部の個人情報が流出した可能性があるとされています。一方で、現時点では本番データベースからの情報漏えいや、金融機関への不正ログイン、口座情報の流出は確認されていません。
ただし、安全確認のため、マネーフォワード MEなどで利用される銀行口座連携機能が一時停止され、多くの利用者に影響が出ています。本記事では、今回のセキュリティインシデントの概要、流出した可能性がある情報、利用者への影響、注意すべきポイントをわかりやすく解説します。
▼ マネーフォワード 公式リリース
マネーフォワードのGitHub不正アクセスとは
今回のインシデントは、マネーフォワードグループがソフトウェア開発やシステム管理に利用していたGitHubで発生しました。
GitHubとは、プログラムのソースコードや設定ファイルなどを管理するためのサービスです。企業の開発現場では、システムの設計図や部品を保管する場所のような役割を持っています。
今回、マネーフォワードでは、このGitHubにアクセスするための認証情報が外部に漏えいし、第三者が不正にアクセスしたとされています。その結果、GitHub上にあったリポジトリがコピーされました。
今回確認されている主な内容
項目 内容 発表日 2026年5月1日 発生した事象 GitHubへの不正アクセス 原因 GitHub認証情報の漏えい 不正アクセスの内容 リポジトリのコピー 影響 ソースコードと一部個人情報が流出した可能性 本番データベースの漏えい 現時点では確認されていない 銀行口座情報の漏えい 現時点では確認されていない 対応 認証情報の無効化、再発行、銀行連携の一時停止など
今回のポイントは、マネーフォワードのサービス本体が直接攻撃され、利用者の口座情報が抜き取られたと発表されているわけではない点です。
一方で、GitHub上にあるソースコードや関連ファイルがコピーされた可能性があるため、開発環境に関わる重大なインシデントといえます。
流出した可能性がある情報
マネーフォワードは、ソースコードと、リポジトリ内に含まれていた一部の個人情報が流出した可能性があると説明しています。
公表されている個人情報は、マネーフォワード ビジネスカードに関する一部情報です。
流出した可能性がある情報
対象 内容 対象サービス マネーフォワード ビジネスカード 件数 370件 情報の内容 カード保持者名、カード番号の下4桁 対象者への対応 該当者に個別連絡
カード番号の下4桁だけでは、通常それだけで決済に使うことはできません。ただし、氏名と組み合わさることで、本人確認を装った詐欺やフィッシングに悪用される可能性があります。
そのため、対象者には個別に連絡が行われるとされています。
流出が確認されていない情報
一方で、以下の情報については、現時点で流出は確認されていないとされています。 情報 状況 カード番号の全桁 確認されていない カードの有効期限 確認されていない セキュリティコード 確認されていない 金融機関のログイン情報 確認されていない 本番データベース上の顧客情報 確認されていない ソースコードの改ざん 確認されていない
記事では、「流出していない」と断定するよりも、「現時点では確認されていない」と書くのが安全です。セキュリティインシデントでは、調査の進展により追加情報が出る場合があるためです。
なぜGitHubに個人情報が含まれていたのか
今回のインシデントで特に注目されているのは、「なぜGitHub上のリポジトリに個人情報が含まれていたのか」という点です。
GitHubは本来、ソースコードや開発関連ファイルを管理する場所です。通常、実在する利用者の個人情報や本番データを置く場所ではありません。
マネーフォワードの説明では、個人情報を扱うサービスの更新作業の過程で、本来の管理手順から外れ、個人情報を含むファイルがGitHub上に誤って保管されていたとされています。
問題の本質
今回の問題は、単にGitHubの認証情報が漏れたことだけではありません。
重要なのは、以下の2点です。
- GitHubの認証情報が漏えいしたこと
- 本来GitHubに置くべきではない個人情報を含むファイルが存在していたこと
たとえるなら、会社の設計図を保管している棚の鍵が盗まれただけでなく、その棚の中に本来入れるべきではない顧客名簿も置かれていたような状態です。
鍵の管理も問題ですが、顧客情報を置く場所の管理にも課題があったといえます。
なぜ銀行口座連携が停止されたのか
今回のインシデントでは、個人情報の流出可能性だけでなく、銀行口座連携機能の一時停止も大きな影響を与えています。
マネーフォワード MEなどでは、銀行口座やクレジットカードと連携することで、残高や入出金履歴を自動取得できます。しかし、今回のインシデントを受けて、安全確認のため銀行口座連携機能が一時停止されました。
銀行連携停止の理由
理由 内容 安全確認 金融機関との接続に問題がないか確認するため リスク低減 不正利用や追加被害を防ぐため 電子決済等代行業者としての責任 金融機関と連携する事業者として慎重な対応が必要なため 利用者保護 万が一の被害拡大を防ぐため
銀行連携の停止は、利用者にとって不便な対応です。しかし、金融関連サービスでは、少しでも安全性に懸念がある場合、利便性よりも安全確認を優先する判断が取られることがあります。
利用者への影響
今回のインシデントでは、直接的な情報漏えいの対象になっていない利用者にも影響が出ています。特に大きいのは、銀行連携機能の停止です。
想定される影響
影響 内容 口座情報の自動更新停止 銀行残高や入出金履歴が更新されない 家計簿の自動反映停止 支出や収入の記録が自動で入らない 会計処理への影響 法人利用者は仕訳や明細取得に影響する可能性 手動入力の増加 CSV取込や手入力が必要になる場合がある 利用者の不安 個人情報や金融情報への影響を心配する声が出る
重要なのは、銀行連携が止まっているからといって、銀行口座そのものが停止しているわけではない点です。
マネーフォワード側の連携機能が一時的に止まっている状態であり、銀行の口座残高や入出金自体に影響が出ているとは限りません。
マネーフォワードの対応状況
マネーフォワードは、今回のインシデントに対して複数の対応を進めています。
主な対応
対応 内容 認証情報の無効化 漏えいした可能性のあるGitHub認証情報を無効化 アカウント遮断 不正アクセスに使われた経路を遮断 認証キーの再発行 ソースコードに含まれていた可能性のある認証キーやパスワードを再発行 対象者への個別連絡 流出可能性のある個人情報に該当する人へ連絡 銀行連携の一時停止 金融機関との安全確認が完了するまで連携を停止 関係機関への報告・相談 警察、個人情報保護委員会、関係官庁などへ報告・相談
こうした対応は、セキュリティインシデント発生後の初動としては重要です。
特に、認証情報の無効化と再発行は、盗まれた鍵を使えなくするための対応です。家の鍵を落としたときに鍵穴ごと交換するように、システムでも漏えいした可能性がある認証情報はすぐに使えなくする必要があります。
ソースコード流出はなぜ危険なのか
ソースコードは、サービスの仕組みを書いた設計図のようなものです。
ソースコードが流出しても、それだけで直ちに利用者の口座情報やカード情報が盗まれるわけではありません。しかし、攻撃者がコードを分析することで、システムの構造や弱点を探しやすくなる可能性があります。
ソースコード流出で考えられるリスク
リスク 内容 脆弱性の発見 コードを分析され、弱点を見つけられる可能性 認証情報の悪用 コード内に認証キーなどが含まれていた場合、悪用される可能性 システム構成の把握 攻撃者が内部構造を理解しやすくなる 模倣や不正利用 一部機能や仕組みが悪用される可能性 追加攻撃の足がかり 将来的な攻撃準備に使われる可能性
特に現在は、AIを使ってソースコードを解析し、脆弱性を探すことも以前より容易になっています。そのため、ソースコードの流出は、単なる情報漏えいではなく、将来的な攻撃リスクにつながる問題として考える必要があります。
利用者が確認すべきポイント
今回のインシデントを受けて、マネーフォワード利用者は落ち着いて公式情報を確認することが大切です。
特に、対象者に個別連絡が行われるとされているため、自分が対象かどうかを確認する必要があります。
利用者が確認すべきこと
確認項目 内容 公式発表 マネーフォワードの公式サイトやアプリ内通知を確認 個別連絡 登録メールアドレスに案内が届いていないか確認 口座連携状況 銀行連携が再開しているか確認 不審なメール 偽メールやフィッシングに注意 カード利用明細 不審な決済がないか確認 パスワード 使い回しがある場合は変更を検討
対象者でなくても、便乗詐欺には注意が必要です。大きなセキュリティインシデントが公表されると、それに便乗して偽メールや偽サイトが作られることがあります。
注意すべき不審メールの例
今回の件に便乗して、次のようなメールやSMSが届く可能性があります。
注意したい文面の例
- 口座連携を再開するため、今すぐログインしてください
- セキュリティ確認のため、カード番号を再入力してください
- 本人確認が完了しない場合、アカウントを停止します
- 返金手続きのため、銀行口座情報を入力してください
- 緊急対応が必要です。以下のURLから確認してください
このようなメールが届いた場合、メール内のリンクからログインするのは避けた方が安全です。確認する場合は、公式アプリや公式サイトを自分で開いて確認しましょう。
特に入力してはいけない情報
情報 理由 パスワード アカウント乗っ取りに使われる可能性 ワンタイムパスワード 不正ログインに悪用される可能性 カード番号全桁 不正決済に悪用される可能性 セキュリティコード カード決済に悪用される可能性 銀行ログイン情報 口座への不正アクセスにつながる可能性
公式に見えるメールでも、リンク先が偽サイトの場合があります。少しでも不審に感じたら、メールからではなく公式アプリから確認することが重要です。
企業側が学ぶべき教訓
今回のインシデントは、マネーフォワードだけの問題ではありません。GitHubやクラウドサービスを使って開発している企業であれば、同じようなリスクを抱えている可能性があります。
特に、ソースコード管理サービスには、システムの設計情報や設定ファイルが集まりやすいため、認証情報の管理とデータの持ち込み制御が重要です。
企業が見直すべきポイント
見直し項目 内容 GitHub認証管理 多要素認証、権限最小化、不要アカウント削除 認証情報管理 APIキーやパスワードをコード内に置かない 個人情報管理 本番データを開発リポジトリに入れない シークレットスキャン 認証情報の混入を自動検知する コードレビュー 機密情報が含まれていないか確認する インシデント対応 漏えい時の無効化・再発行手順を整備する 監査ログ確認 不審なアクセスやコピー操作を検知する
特に重要なのは、「認証情報を守る」ことと「そもそも危険な情報を置かない」ことの両方です。
認証情報の管理だけを強化しても、リポジトリ内に個人情報が含まれていれば、万が一侵害された際の影響が大きくなります。反対に、個人情報を置かない運用を徹底していても、認証情報が漏れればソースコード流出などのリスクは残ります。
今回のインシデントで混同しやすいポイント
今回の件では、いくつか混同しやすい点があります。記事内では、読者が誤解しないように整理して書くとよいです。 誤解しやすい点 正しい整理 銀行口座情報が漏れたのか 現時点では確認されていない 本番データベースが侵害されたのか 現時点では確認されていない GitHubが攻撃されたのか マネーフォワード側のGitHub認証情報が漏えいし、不正アクセスされた カード番号全桁が流出したのか 現時点では確認されていない 口座連携停止は銀行側の障害か マネーフォワード側の安全確認に伴う一時停止 すべての利用者の個人情報が流出したのか 公表対象はビジネスカード関連の370件
このように整理すると、読者に過度な不安を与えず、正確に状況を伝えられます。
よくある質問
マネーフォワードで何が起きたのですか？
マネーフォワードグループが利用しているGitHubの認証情報が漏えいし、第三者が不正アクセスしてリポジトリをコピーしたと発表されました。これにより、ソースコードや一部個人情報が流出した可能性があります。
銀行口座の情報は漏えいしたのですか？
現時点では、銀行口座情報や金融機関のログイン情報が漏えいしたとは発表されていません。また、本番データベースからの顧客情報漏えいも確認されていないとされています。
流出した可能性がある個人情報は何ですか？
公表されているのは、マネーフォワード ビジネスカードに関わる370件のカード保持者名と、カード番号の下4桁です。カード番号の全桁、有効期限、セキュリティコードの流出は確認されていません。
なぜ銀行連携が止まっているのですか？
金融機関との接続に関する安全確認を行うためです。マネーフォワードは、電子決済等代行業者としての責任や利用者保護の観点から、銀行口座連携機能を一時停止しています。
利用者は何をすればよいですか？
公式発表やアプリ内通知を確認し、対象者向けの個別連絡が届いていないか確認しましょう。また、今回の件に便乗した偽メールやSMSに注意し、メール内リンクからログイン情報やカード情報を入力しないことが重要です。
まとめ
今回のマネーフォワードのセキュリティインシデントは、GitHubの認証情報漏えいをきっかけに、第三者がリポジトリへ不正アクセスし、ソースコードや一部個人情報が流出した可能性があるというものです。
現時点で、本番データベースからの顧客情報漏えいや、銀行口座情報の流出、カード番号全桁の流出は確認されていません。一方で、マネーフォワード ビジネスカードに関する370件のカード保持者名とカード番号下4桁が流出した可能性があるとされています。
また、安全確認のため銀行口座連携機能が一時停止され、マネーフォワード MEなどを利用するユーザーにも影響が出ています。
今回の件で重要なのは、ソースコード管理サービスの認証情報を守るだけでなく、GitHubなどの開発環境に個人情報や認証キーを持ち込まない運用を徹底することです。利用者側も、公式情報を確認しながら、不審なメールやSMSに注意する必要があります。
コメント