CAMPFIREのGitHubと社内クラウドが不正アクセスを受けた（2026年）

何が起きたか

CAMPFIREは、同社のGitHubアカウントが2026年4月2日に第三者の不正アクセスを受けたと発表しました。その後の調査では、GitHubで見られる情報を手掛かりに、社内業務用のクラウド環境の一部管理領域にも侵入されたことが判明しました。4月3日の初報／6月2日の調査結果

被害と影響

社内クラウドの管理領域への侵入に加え、そこに保管されていた認証情報・APIキーなどが攻撃者に取得されたことは確認済みです。個人情報を含む1件のデータが、攻撃者による探索の中でクエリ結果として出力されたことも確認されています。一方、個人情報を含むデータファイルが外部へ転送された痕跡は確認されていません。同社の調査結果「3.個人情報漏えいの可能性」

同社は、225,846件を重複を除いた「漏えいのおそれがある対象ユーザー」の件数として示しました。これは個人情報が225,846件または225,846人分、確実に外部へ流出したという意味ではありません。同社によれば、今回侵害された社内クラウドはサービス提供基盤とは別環境で、提供サービス基盤の不正利用・改ざんは確認されていません。同社の調査結果「2」「4」

同社は不正利用された認証情報を差し替え、クラウドの該当アカウントやリソースを停止・無効化し、監視と認証の仕組みを強化しました。同社の調査結果「1」「6」

出来事の時系列

時系列は初報と調査結果「1.発生と対応」によります。

まだ分かっていないこと

個人情報を含む情報を攻撃者が実際にどこまで閲覧したかは、ログが一部残っていないため断定できません。225,846件を確定した外部流出件数とは扱えません。同社はクレジットカード情報を漏えいのおそれの対象に含めていません。同社の調査結果「2」「3」

この事例から分かること

一つの認証情報が外部に露出すると、そのアカウントで見える情報を手掛かりに別の環境へ攻撃が広がる場合があります。この事例ではGitHubと社内クラウドを分けて記録し、サービス提供基盤まで侵害されたと読み替えません。同社の調査結果「4」「5」