震度3

マネーフォワード ビジネスカード

株式会社マネーフォワード

個人情報370人

漏えい確定APIキー・秘密鍵 / ソースコード不正アクセス · 封じ込め済

監視モニターでこの事案を見る ▶
公表
2026/05/01
確度
漏えい確定
種別
不正アクセス
状況
封じ込め済
対策投資
未調査
補償
発表なし・未定

漏えいした情報

金融・決済カード保持者名のアルファベット表記、カード番号の下4桁
システム・内部GitHubリポジトリ（ソースコード）
認証情報ソースコードに含まれていた認証キーやパスワード

漏えいしていないもの

  • クレジットカード番号全体、有効期限、セキュリティコードの流出は確認されていない

規模

  • ビジネスカード保持者 370人

対象者

  • 「マネーフォワード ビジネスカード」のカード保持者

原因

ソフトウェア開発に使用するGitHubの認証情報が不正に利用され、リポジトリが第三者にコピーされた

時系列

  1. 公式発表

対応

  • 認証情報の無効化
  • サービス停止
  • 本人通知

不正利用された認証情報とアカウントを無効化、ソースコード内の認証キーやパスワードを無効化、全サービスで銀行口座連携機能を一時停止、対象者にメールで個別連絡

あなたがすべきこと

  1. カード番号は下4桁でも、「本物の会社からの連絡」と信じさせる材料に使われる。電話・SMSでカード情報を聞かれても答えない
  2. 会社からの通知メール・公式発表で、自分が対象か確認する

事業者への教訓

  1. 全アカウントをパスキーかMFAに。漏れた認証情報の監視と、APIキーの定期ローテーション
  2. 本人確認書類・口座情報は保存しない。確認後に破棄するか外部の本人確認サービスに任せる
  3. 個人情報保護委員会へ速報（3〜5日）と確報（30日、不正目的は60日）
  4. レッドチーム演習とAIによる防御強化を行い、その投資額を公表する

出典