CAMPFIREで225,846件の個人情報漏洩の可能性。企業が押さえておくべき対策ポイントとは

こんにちは！ワニたんです。

今回取り上げるのは、クラウドファンディングサービスを運営する株式会社CAMPFIREで発生した、不正アクセスによる個人情報漏洩の可能性についてです。 

CAMPFIREでは、GitHubアカウントへの不正アクセスをきっかけに調査を進めた結果、顧客情報を管理するシステムの一部でも不正アクセスの影響が確認されました。その結果、最大225,846件の個人情報が漏洩した可能性があると公表されました。 

この記事では、今回の流れや漏洩した可能性がある情報、利用者が注意すべきポイントをわかりやすく解説します。 

CAMPFIREで何が起きたのか 

CAMPFIREは、2026年4月3日（金）に、システム管理に関係するGitHubアカウントへの不正アクセスについて公表しました。

GitHubとは、システム開発で使うソースコードなどを管理するサービスです。開発に関わる重要な情報が置かれることもあるため、不正アクセスを受けると、システムの構造や設定情報が外部から見られるおそれがあります。

その後の調査で、2026年4月21日（火）に顧客情報を管理するデータベースへのアクセスや、内部処理の形跡が確認されました。これを受けてCAMPFIREは、2026年4月24日（金）に、顧客情報を管理するシステムの一部で個人情報が漏洩した可能性があると公表しています。

CAMPFIREは、対象となるシステムの安全確保に向けた措置を完了し、情報漏洩の有無を確認するための調査を進めていると説明しています。また、個人情報保護委員会への報告、警察への相談、外部専門機関と連携した詳細調査も進めています。

情報漏洩の可能性がある情報

現時点では、顧客に関するデータファイルのダウンロードは確認されていない一方で、データベースへのアクセスや内部処理の形跡が確認されたため、情報漏洩の有無を検証している段階とされています。

漏洩の可能性がある個人情報は以下です。

対象	漏洩した可能性のある情報	件数
プロジェクトオーナー、コミュニティオーナーの一部	氏名、住所、電話番号、メールアドレス、口座情報	108,784件
支援者の一部	氏名、住所、電話番号、メールアドレス、口座情報	118,010件
パートナーの一部	氏名	1,282件
区分が不明な一部の人	口座情報	10,521件
対象者のユニーク件数	重複を除いた人数	225,846件

特に注意したいのは、氏名、住所、電話番号、メールアドレス、口座情報が組み合わさる可能性があることです。

クレジットカード情報は含まれていないとされていますが、これらの情報だけでも、詐欺やなりすましに悪用されるおそれがあります。

⇒なりすましとは？対策の方法や手口まで徹底解説 
⇒フィッシング詐欺とは？5つの対策や被害にあった場合の対処法を解説

CAMPFIRE側の対応 

CAMPFIREは、今回の事案について、対象となるシステムの安全確保を行い、関係機関への報告や相談を進めていると説明しています。 

主な対応は次のとおりです。 

• 対象システムの安全確保 
• 個人情報保護委員会への報告 
• 警察への相談 
• 外部専門機関と連携した詳細調査 
• 対象者への個別メール連絡 
• 専用お問い合わせ窓口の開設 

企業が押さえておくべき対策ポイント 

今回の事案は、GitHubアカウントへの不正アクセスをきっかけに調査が進められ、顧客情報を管理するシステムの一部にも影響が及んだ可能性があると公表されています。 

ただし、今回の原因を「外部サービス経由の認証情報漏洩」と断定するものではありません。重要なのは、企業のセキュリティ対策では、自社システムの内部だけでなく、外部サービスで使われるアカウントや認証情報にも目を向ける必要があるという点です。 

企業が押さえておきたいポイントは次のとおりです。 

• GitHubなどの開発管理サービスの権限を見直す 
• 退職者や委託先のアカウントが残っていないか確認する 
• パスワードの使い回しを避け、多要素認証を導入する 
• ソースコードや設定ファイルに認証情報が含まれていないか確認する 
• 顧客情報へアクセスできる人を最小限にする 
• 不審なログインや大量アクセスを検知できる仕組みを整える 
• 自社ドメインのメールアドレスや認証情報が外部に漏洩していないか確認する 

ウイルス対策ソフトやファイアウォールなどの「守る対策」はもちろん必要です。しかし、それだけでは十分とは言えません。 

社員が業務用メールアドレスを使って外部サービスに登録していた場合、その外部サービスで情報漏洩が起きると、自社に関係する認証情報が外部に出回る可能性があります。 

これからの企業には、社内を守る対策に加えて、すでに外部へ流出している情報に早く気づく対策も求められます。 

参考記事

・株式会社CAMPFIRE「弊社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとご報告」
・株式会社CAMPFIRE「【続報】不正アクセスによる情報漏えい可能性の範囲について」
・株式会社CAMPFIRE「個人情報漏えいに可能性に関する『専用お問い合わせ窓口』開設のお知らせ」
・株式会社CAMPFIRE「【重要】弊社システムへの不正アクセスによる個人情報漏洩可能性の経緯と対応状況について」

まとめ 

今回のCAMPFIREの事案では、氏名、住所、電話番号、メールアドレス、口座情報などが漏えいした可能性があると公表されています。こうした情報は、すぐに被害が出なくても、時間がたってから偽メール、なりすまし、不正ログイン、標的型攻撃などに悪用されるおそれがあります。 

企業に求められるのは、セキュリティ対策を「防ぐ」だけで終わらせないことです。社内システムを守る対策に加えて、自社の外で会社メールアドレスやID、パスワードなどが流通していないかを早期に把握し、すぐに対応できる体制を整えることが重要になります。 

そこで有効なのが、SMSデータテックの「ダークウェブアイ/情報漏洩」です。ダークウェブアイ/情報漏洩は、ダークウェブ上に流通する自社関連情報を監視し、社員の会社メール、ID、パスワードなどの漏洩を検知します。さらに、該当者への通知や対応状況の管理にも対応しているため、セキュリティ担当者の負担を抑えながら、漏洩後の初動対応を効率化できます。 

情報漏洩は、完全に防ぐことが難しい時代です。だからこそ、被害を最小限に抑えるためには「漏洩を早く見つける」「すぐに通知する」「対応状況を管理する」仕組みが欠かせません。自社の情報がダークウェブ上に流通していないか不安がある場合は、「ダークウェブアイ/情報漏洩」を活用し、まずは自社の漏洩状況を確認することから始めてみてはいかがでしょうか。