GitHub認証情報漏えいで不正アクセス発生：企業は即時に認証情報を見直すべき

はじめに

株式会社イノベーションが公開したお知らせによると、当社グループが利用している GitHub の認証情報が漏えいし、第三者による不正アクセスが発生したと報告されています。今回の事象は、単なるアカウントの乗っ取りではなく、ソースコードや内部リポジトリへのアクセス、個人情報の漏えいなどにつながる可能性があります。

1. 何が起きたか

2026年8月4日、株式会社イノベーションは『GitHub』への不正アクセス発生に関するお知らせとお詫びを公開しました。

発表によると、当社グループがソフトウェア開発およびシステム管理に利用している GitHub の認証情報が漏えいし、それを悪用した第三者による不正アクセスが確認されたとされています。事象の発覚後、認証情報の無効化とアカウントの遮断、ソースコードに含まれる各種認証キーやパスワードの再発行が進められたとされています。

今回の問題で最も重要なのは、GitHub アカウントが「単独のSaaSアカウント」ではなく、リポジトリ、CI/CD、秘密情報、デプロイ権限、SaaS連携を含む高度な信頼基盤である点です。認証情報が漏れた場合、アカウント乗っ取りはもちろん、ソースコードや構成情報の改ざん、社内システムへの接続、外部サービスへの横移動など、連鎖的な被害が起こり得ます。

2. 影響範囲と懸念される被害

イノベーションの発表では、現時点でソースコードおよびリポジトリ内に含まれていたファイルに記載されていた個人情報の一部が流出した可能性があることが示されています。具体的には、最大約60,000件の「氏名」「メールアドレス」、一部の方の「電話番号」が対象とされています。

この種の事象で企業が特に注意すべき点は、影響が「認証情報の漏えい」だけにとどまらないことです。

• GitHub で管理しているソースコードや設定ファイルが改ざんされる可能性
• GitHub Actions や CI/CD のシークレットが悪用される可能性
• パスワードやAPIキーを含む設定ファイルが流出する可能性
• 外部サービスのアクセス権が拡大される可能性
• 承認済みの開発者アカウントが悪用される可能性

GitHub は開発者にとって不可欠な基盤ですが、「使っているだけでは安全」ではないことが今回の事象で再認識されました。

3. なぜ企業に影響があるのか

本件は企業の情報セキュリティ対策の観点からも重要です。特に以下のような企業は注意が必要です。

• GitHub を利用している開発企業
• 社内のソースコードやCI/CD設定を GitHub で管理している企業
• GitHub Actions やデプロイ権限を社員個人のアカウントに依存している企業
• パスワードやトークンをローカル端末やブラウザに保存している企業

攻撃者は、GitHub に保存されたコードや設定ファイルを利用して、さらに別のシステムへアクセスを試みることがあります。たとえば、リポジトリに含まれる依存関係情報や設定値から、AWS、Azure、Slack、メール、SaaS 連携キーを推定するケースもあり得ます。

4. 情シス担当者が今すぐ確認すべき対応

1) GitHub の認証情報を確認し、失効・再発行を実施する

• 有効なアクセストークン・SSH鍵・OAuth接続の棚卸し
• 古いトークンや不要なトークンの無効化
• 2要素認証（2FA）の有効化確認
• 共有アカウントやサービスアカウントの権限見直し

2) GitHub Actions とシークレットを見直す

• CI/CDで使用しているシークレットの再発行
• 経験上、使っていないシークレットは即時削除
• 参照元が複数人のワークフローを整理

3) 端末・ブラウザ・パスワード管理の見直し

• GitHub アクセス用のブラウザ保存パスワードの再確認
• 端末のマルウェア検知とEDRログ確認
• パスワード管理ツールの監査

4) アクセス権限を最小権限化する

• GitHub リポジトリのアクセス権限を必要最小限に整理
• 管理者権限の持ち主を限定
• 退職者・異動者のアクセス削除を徹底

5. まとめ

今回の事象は、GitHub のような信頼済みの開発基盤が、認証情報の漏えいによって企業の本体システムに直結する脅威になることを示しています。特に、ソースコード管理とCI/CDが一体化している現代の開発環境では、1件の認証情報漏えいが重大インシデントにつながる可能性があります。

企業は「GitHub へのログインが漏れた」くらいで済むと考えず、アクセス権、シークレット、内製コード、デプロイ基盤までを一つの脅威圏として捉える必要があります。

出典

• 株式会社イノベーション: 『GitHub』への不正アクセス発生に関するお知らせとお詫び（速報）