「ITトレンド」のイノベーションでGitHubに不正アクセス。設定ファイルの認証情報から6万2,691人分が漏えい

01発表されている事実

同社は原因を2つ挙げています。1つは、社内の開発システムの一部で、GitHubにアクセスするための認証情報がプログラムの設定ファイルに直接書かれていたことです。この認証情報を第三者が不正に取得して悪用したことが、不正アクセスの直接の原因でした。もう1つは、分析・開発作業の過程で、一部の個人情報がGitHubのリポジトリにも保存されていたことです。2つは独立した要因のため、それぞれに対策をとったとしています。

悪用された認証情報（アクセストークン）は無効化済みで、発行の手順や権限を見直し、リポジトリへのアクセスの監視も強めています。個人情報をリポジトリに置かない運用ルールに変え、既存のリポジトリの点検と是正を終え、個人情報がアップロードされたときに検知する仕組みも入れました。

02読者への影響

漏えいしたのは主に氏名とメールアドレスです。IT製品の資料請求や比較サイトの利用は、仕事のメールアドレスで行うことが多いため、IT製品の案内や請求を装った、業務向けのフィッシングメールに使われるおそれがあります。同社は、連絡先を把握している対象者には個別に連絡するとしています。

03今すぐやること

1. イノベーションやITトレンドを名乗るメールのリンクや添付は、公式サイトから確かめてから開く
2. 心当たりのない資料送付や請求のメールで、ログイン画面に誘導されても入力しない
3. 問い合わせは同社の個人情報保護管理担当（sec@innovation.co.jp、平日10時〜17時）へ

04開発を内製・外注している会社が確かめること

認証情報をコードや設定ファイルに書き込むと、その情報を手に入れた人は誰でも同じ権限で入れます。GitHubは、APIキーやパスワード、トークンなどがリポジトリに入っていないかを自動で探す「シークレット スキャン」を提供しています。自社や委託先のリポジトリでこうした機能を有効にし、本番の個人情報をテストや分析の作業場所に置かない決まりを作っておくと、同じ被害を防げます。外部の脆弱性診断で、公開しているコードや設定の見落としを点検してもらう方法もあります。

05今後の発表

同社は、関係当局への確定報告を期限内に提出する予定としています。