要点
- セキュリティ会社のサイバーセキュリティクラウドで、従業員の GitHub の認証情報が外部に流れ、第三者とみられる不審なアクセスがあった。
- 一部の顧客の企業名・氏名・メールアドレスなどが漏れたおそれがある。対象の範囲と人数は調査中だ。
- 同社は、この件によるサービスへの不正アクセスや二次被害は確認されていないとしている。
何が起きたか
サイバーセキュリティクラウドは2026年11月12日、開発環境での情報漏えいのおそれについて、第一報を発表した。
同社の発表によると、外部機関からの情報提供で、従業員が業務で使っていた GitHub の認証情報（ログインに使う鍵のようなもの）1件が外部に流出していたと分かった。GitHub のアクセス記録を調べたところ、11月5日に、その認証情報を使った第三者によるとみられる過去の不審なアクセスを確認したという。
漏えいのおそれがある情報は、一部の顧客に関する企業名・氏名・メールアドレス等と、サービス利用に伴う通信関連情報だ。流出の原因と経路は調査中である。
注意したいのは、調べきれていない部分があることだ。同社は、記録の期間や内容に制約があり、認証情報が有効だった期間全体の状況は確認できていないと説明している。つまり「被害がない」と確定したわけではない。
同社は、流出した認証情報の無効化、GitHub に保存していた他サービスの認証情報の変更、関連する権限の見直し、関係する開発端末の隔離とアカウント停止を済ませたという。社内の技術者と外部の専門機関による調査も進めている。個人情報保護委員会など関係機関には報告済みとのことだ。
日本の利用者への影響
同社は日本の会社だ。影響を受けた可能性のある顧客には、順次案内するという。
同社が顧客から預かって扱っていた個人情報は、委託元の顧客と連携して本人への通知などを進める。委託元の顧客による個人情報保護委員会への報告の方法も協議中だ。
現時点で、同社は本件によるサービスへの不正アクセスや不正な操作、二次被害は確認していないとする。サービスは通常どおり提供され、セキュリティ機能への影響もないという。件数や対象者は未公表で、続報待ちである。
今すぐやること
- 同社の顧客なら、同社からの案内を待つだけにせず、問い合わせ先（csc-customer@cscloud.co.jp）に自社が対象かを確認する。
- 顧客として預けた情報にメールアドレスなどが含まれるなら、当面は、同社を装った不審なメールやなりすましに注意するよう社内に伝える。
- 自社の GitHub で、使われていない認証情報（個人用アクセストークンや SSH 鍵など）を洗い出し、不要なものは失効させる。
- 全員が2要素認証（パスワードのほかにスマホなどでも本人確認する仕組み）を使っているかを確かめる。退職者や使っていないアカウントも整理する。
- 組織の監査ログで、見覚えのない場所や時刻からのアクセスがないかを見る。ログを残せる期間が短いなら、長く残す方法を今のうちに調べる。
背景
今回の件は、同社自身が示すように、ログの保存期間が短いと「いつから誰が入っていたか」を後から確かめにくいという問題を含む。認証情報は、一度外に出ると有効なあいだ使われ続ける。
GitHub に保存した他サービスの認証情報の変更を迫られた点も重い。ソースコードの置き場に、他サービスの鍵が残っていることは珍しくない。流出の原因は調査中で、本稿では推測しない。
技術者向けの詳細
- 流出したのは従業員の GitHub 認証情報1件。種別（パスワード、トークン等）は第一報で明らかにされていない。
- 不審アクセスの確認日は2026年11月5日。第一報の公開は11月12日。
- 確認の観点（自社向け）:
- 組織の個人用アクセストークン、デプロイキー、SSH 鍵、OAuth アプリ、GitHub Apps の棚卸しと不要分の失効
- 組織で2要素認証を必須にする設定
- 監査ログで、不審な IP、clone や fetch の急増、新しい鍵やトークンの作成を確認
- リポジトリ内に残った他サービスの鍵の検査（シークレットスキャン）と、見つかった鍵の変更
- 原因・経路・件数は未公表。第二報以降で更新される可能性がある。
