マネーフォワード GitHub不正アクセス事件から学ぶ：IT監査の視点で読み解くソースコード管理リスク2026年5月2日 · 1 分
マネーフォワード GitHub不正アクセス事件から学ぶ：IT監査の視点で読み解くソースコード管理リスク
目次

はじめに

2026年5月1日、株式会社マネーフォワードは、開発・運用に使用していたソースコード管理サービス「GitHub」に第三者による不正アクセスが発生したと公表しました。この事件では、リポジトリ内のソースコードがコピーされ、コード中に含まれていた一部の個人情報や認証キーが外部に流出した可能性があります。金融系SaaSが直面した今回のインシデントは、IT監査担当者として見逃せない重要な教訓を含んでいます。本稿では、漏洩の全容を整理したうえで、問題の所在と監査上の確認ポイントを解説します。

1. 漏洩の全容

何が起きたか

マネーフォワードは、ソフトウェア開発・システム管理に利用していた GitHub のアカウントに対して、第三者が不正アクセスを行ったことを確認しました。攻撃者は社内で使用していた GitHub の認証情報を何らかの手段で入手し、リポジトリへのアクセス・コピーに成功しています。

流出した情報

種別内容件数
個人情報マネーフォワード ビジネスカード利用者のカード保持者名（アルファベット）・カード番号下4桁最大370件
認証情報ソースコード内に記述されていた各種認証キー・パスワード詳細非開示
ソースコード社内リポジトリのコード全体（コピーされた可能性）詳細非開示

家計簿アプリ「マネーフォワード ME」の本番データベースからの直接流出は、現時点では確認されていないとのことです。

発覚の経緯と対応

不正アクセスを検知したマネーフォワードは、速やかに以下の初動対応を実施しました。

2. 何が良くなかったか？

1 ソースコードへの機密情報の混入（最大の問題点）

最も根本的な問題は、本番環境の認証キー・パスワードがソースコードそのものに記述されていた可能性です。さらに、法人向けクレジットカードサービスの個人情報（氏名・カード番号）が開発用コードやテストデータとして混入していたと考えられます。これは、開発セキュリティの基本原則である「シークレットのコード分離」が徹底されていなかったことを示しています。

2 GitHub 認証情報の管理不備

3 リポジトリのアクセス権限管理の甘さ

個人情報や認証キーが含まれるリポジトリへのアクセス権限が必要以上に広く設定されていた可能性があります。最小権限の原則（Least Privilege）が適切に運用されていれば、被害範囲を縮小できたと考えられます。

4 本番データの開発環境への流入

テスト・開発工程において本番の個人情報が使用されていた可能性は、PCI-DSS（クレジットカード業界のセキュリティ基準）への準拠上も深刻な問題です。本番データは匿名化・マスキングされたテストデータに代替されるべきです。

3. 考えられる影響

利用者への影響

370件というカード保持者情報の流出自体は件数としては限定的ですが、氏名とカード番号下4桁が組み合わさることで、フィッシングやソーシャルエンジニアリング攻撃に悪用されるリスクがあります。また、銀行口座連携の一時停止は、家計管理サービスを日常的に利用しているユーザーに大きな不便を与えました。

企業への影響

4. 金融庁・銀行と電代事業者との関係

マネーフォワードは、銀行口座の残高・入出金情報を取得するために「電子決済等代行業者（電代事業者）」として金融庁に登録されています。この登録制度は、改正銀行法（2018年施行）により設けられ、銀行との間でAPI接続契約を結ぶことが義務付けられています。

今回のインシデントで銀行口座連携機能が一時停止された背景には、こうした法的・契約的な関係が影響しています。

電代事業者に課される主な義務

今回の影響

ソースコードが流出した場合、銀行APIとの接続に使用される認証情報（クライアントIDやシークレット等）が含まれている可能性があります。銀行側がこれを検知・懸念した場合、API接続の停止を求めるケースもあり得ます。マネーフォワードが銀行口座連携を一時停止した判断の背景には、こうした取引銀行との協議もあったと推測されます。IT監査の観点では、電代事業者として登録している企業を監査する際、金融庁への報告体制と銀行との契約上のセキュリティ要件への準拠状況を確認項目に加えるべきです。

5. ソースコード漏洩による二次被害の可能性

今回の事件で最も深刻なリスクの一つが、ソースコード自体の流出による二次被害です。個人情報の流出（370件）は件数として限定的ですが、ソースコードの流出は将来にわたる継続的なリスクをはらんでいます。

想定される二次被害

  1. 脆弱性の特定と悪用：攻撃者がソースコードを解析することで、入力バリデーションの不備・SQLインジェクション等の脆弱性・認証ロジックの欠陥などを特定し、将来の攻撃に悪用する可能性があります。

  2. 内部ロジックの解明：ポイント計算ロジック・与信審査アルゴリズム・手数料計算式などが露呈することで、不正な操作や悪用が可能になるリスクがあります。

  3. ハードコードされた認証情報の悪用：今回すでに無効化対応が行われていますが、対応漏れや新たに発見された認証情報が残存している場合、本番環境への不正アクセスに使われる可能性があります。

  4. サードパーティ連携先への波及：マネーフォワードが連携している銀行・決済事業者・クラウドサービスとの接続情報が含まれていた場合、連携先への攻撃の足がかりになる恐れがあります。

ソースコード流出の影響は数か月から数年にわたって顕在化することがあるため、継続的なセキュリティ監視と定期的な脆弱性診断が不可欠です。

6. マネーフォワードの財務体力と企業継続の可能性

サービス利用者にとって気になるのは、今回のインシデントがマネーフォワードの事業継続に与える影響です。

財務状況の概要

マネーフォワードは東証プライム上場企業（証券コード：3994）でありますが、直近の四半期でやっと営業利益が黒字化（経常利益はまだ赤字）したベンチャー企業なので、恐らく今後の見通しはかなり厳しいものになると思われます。

インシデントによる財務的影響の試算

企業継続性の評価

ソースコード流出による二次被害が大規模化した場合や、金融庁から電代事業者登録の取消・業務停止命令が発令された場合には、事業への影響が大きくなる可能性があります。サービス利用者は動向を注視しつつ、重要データのバックアップを手元に保持しておくことが望ましいです。

7. ユーザーとしてできる追加の防御策

マネーフォワード ME やマネーフォワード ビジネスカードを利用しているユーザーが自衛のために取れる対策を紹介します。

今すぐできること

中長期的な対策

私自身もマネーフォワードのプレミアムユーザーなのですが、サービスの長期間停止に備え、他サービスへの乗り換えを検討します。その後の第二報以降で再度解約するかまでは検討したいと思います。 ただし、他のサービス提供会社は、当社よりセキュリティ態勢が優れているかは不明です。

8. IT監査で確認すべきポイント

まとめ

今回のマネーフォワード GitHub 不正アクセス事件は、「コードリポジトリは社内データ」という認識が不十分だったことに起因すると言えます。ソースコードには認証情報・設定値・テストデータが混入しやすく、一度流出すると本番環境への二次攻撃にも悪用されます。IT監査においては、従来の「データベースやネットワーク」に加え、開発ツール・コード管理環境のセキュリティを監査対象として明確に位置づけることが求められます。自組織のリポジトリ管理体制を今一度、本チェックリストで点検してみてください。

参考情報

IT監査 セキュリティ インシデント GitHub