使っていた人が、いますぐやること
- 1
CAMPFIREから連絡が来た人CAMPFIREを名乗って暗証番号やパスワードを聞く連絡、代引きの郵便物には応じない。CAMPFIREが電話やメールで暗証番号を聞くことはない
- 2
口座情報が対象の人口座情報だけで引き出しや振り込みはできないが、取引明細に覚えのない履歴がないか確かめる
- 3
全員同じメールアドレスとパスワードをほかのサービスで使っているなら、パスワードを変える。困ったときは警察相談専用電話「＃9110」へ
被害にあっているときの手順を見る →
漏れた可能性がある情報氏名、住所、電話番号、メールアドレス、口座情報（パートナーは氏名のみ）
いまの状況（調査完了）5月30日に外部専門機関の調査が完了。データファイルが外へ送られた跡はないが、ログが無い部分があり、閲覧の可能性は否定できない。サービスの基盤は別の環境で、不正利用や改ざんは確認されていない
02HOW THEY WERE HACKED
どんなハッキングをされた？
ひとことで2026年4月、クラウドファンディングのCAMPFIREで、システム管理に使うGitHub（プログラムを保管するサービス）のアカウントに不正アクセスがありました。原因は、従業員が作った認証情報（鍵）が、個人で使っていたサーバーにうっかり置かれ、第三者に使われたことでした。攻撃者はそこから社内業務用のクラウドにも入り込み、プロジェクトの主催者や支援者など最大22万5,846人分の氏名・住所・口座情報などに漏えいのおそれが出ました。データが外へ送られた跡は見つかっていませんが、ログが残っていない部分があるため、見られた可能性は否定できないとしています。
1CAMPFIRE ・ CAMPFIREのGitHubと社内業務用クラウド流出した認証情報を使った開発環境とクラウドへの不正アクセス
不正アクセスとは →
- STEP 1鍵がうっかり外へ
従業員が作ったGitHubの認証情報が、個人開発のサーバーに意図せずアップロードされた
- STEP 2GitHubに入られる
4月2日22時50分ごろ、第三者がGitHubアカウントに入り、一部のソースコードを見た可能性
- STEP 3クラウドの鍵を探す
GitHubで見られた情報から、社内クラウドの認証情報を探して取得した
- STEP 4社内クラウドに侵入
クラウドの一部の管理領域に入り、顧客情報のデータベースにアクセスした跡が見つかった
くわしい内容を見る ↓
手口従業員が作ったGitHubの個人用の認証情報が、個人開発で使っていたサーバーに意図せずアップロードされ、第三者に使われました。攻撃者はGitHubで見られた情報をもとに、社内業務用クラウドの認証情報やAPIキー（システム同士をつなぐ鍵）を探して取得し、クラウドの一部の管理領域に入りました。外部の専門機関は、攻撃の目的は認証情報を集めることだったとの見解を示しています。
- 侵入
- 2026年4月2日22時50分ごろ、GitHubアカウントに不正アクセス。4月20日に社内クラウドへの不正アクセスを検知
- 発覚
- 4月3日未明、GitHubのリポジトリへの不審な操作を検知
- 公表
- 4月3日（第一報）。4月24日の第四報で個人情報の漏えいのおそれを公表。6月2日に調査結果
- 漏えいのおそれがある人
- 225,846人（重複を除く）。オーナー108,784件、支援者118,010件、パートナー1,282件、どちらか不明10,521件
- 情報の種類
- 氏名、住所、電話番号、メールアドレス、口座情報（パートナーは氏名のみ）
- 含まれないもの
- クレジットカード情報
- 攻撃者に取られたもの
- クラウドに保管されていた認証情報とAPIキー、個人情報を含まない一部のデータファイル、テーブル名や構成の情報。探索の途中で個人情報を含むデータ1件が出力された
- いまの状況
- 5月30日に外部専門機関の調査が完了。データファイルが外へ送られた跡はないが、ログが無い部分があり、閲覧の可能性は否定できない。サービスの基盤は別の環境で、不正利用や改ざんは確認されていない
- GitHub
22時50分ごろ、第三者がGitHubアカウントに不正アクセス
- GitHub
未明に不審な操作を検知し、アカウントを除外して認証情報を差し替え。第一報を公表
- GitHub
認証情報が漏れた原因を特定
- GitHub
第二報。取引先1先と開発業務の従事者413名の情報が見られる状態だったと公表。個人情報保護委員会へ報告
- 社内クラウド
社内業務用クラウドへの不正アクセスを検知し、アカウントとリソースを止めた
- 社内クラウド
第三報。顧客情報を管理するシステムに不正アクセスの跡と公表
- 社内クラウド
第四報。最大225,846人分の漏えいのおそれを公表し、対象者にメールで連絡
- 社内クラウド
第五報。漏えいのおそれの範囲の内訳を詳しく公表
- 全体
個人情報のお問い合わせ専用窓口を開設
- 全体
外部専門機関のフォレンジック調査（記録を調べる調査）が完了
- 全体
調査結果と再発防止策を公表
入口の遮断該当の従業員のGitHubアカウントを組織から外し、使われた認証情報を無効にして作り直した
クラウドの対応不正に作られた・使われたクラウドのリソースを止め、削除・無効化した
認証の見直し個人用アクセストークン（GitHubの個人の鍵）に頼るのをやめ、権限を絞った認証方式に移した
見張りの強化監査ログの取得と通知を強め、アラートにすぐ対応できる体制を作った。脆弱性診断ツールも導入
お客さまへの連絡対象者に個別にメールで連絡し、専用窓口（0120-188-070）を開いた。個人情報保護委員会に報告し、警察にも相談
07ABOUT THE COMPANY
どんな会社？
2011年設立の会社で、クラウドファンディング（インターネットで支援を集める仕組み）の企画・開発・運営をしています。
事業
- クラウドファンディング
- コミュニティ運営の支援
- 支援金の受け取りと送金
- 会社名
- 株式会社CAMPFIRE
- 設立
- 2011年1月14日
- 本社
- 東京都渋谷区猿楽町18-8 ヒルサイドテラスF棟201
- 代表者
- 代表取締役 中島 真
- 従業員
- 264名（2025年7月現在）
- 資本金
- 73億4,814万円（資本剰余金含む、2023年2月末時点）
出典：会社の公式サイト「会社概要」
