【インシデント速報】2026年5月8日｜日経米子会社M365不正ログイン・マネーフォワードGitHub侵害・2りんかん345万件中間報告

今日のポイント：
Microsoft 365アカウントの乗っ取り、GitHubの認証情報漏えい、子会社サーバ経由の大量個人情報流出。連休明けの初日は、社員のSaaSパスワード・APIキー・委託先のアクセス権をまとめて棚卸しする日にしてください。

1. 日本経済新聞社｜米子会社のMicrosoft 365アカウントへ不正ログイン、291人分の情報流出のおそれ

日本経済新聞社は2026年5月7日、米子会社の日経アメリカ社（ニューヨーク市）社員が利用するMicrosoft 365のアカウントが外部から不正ログインされ、社員と取引先の情報が流出したおそれがあると発表した。流出の可能性があるのは氏名・会社名・メールアドレスなど291人分。クラウド上のファイルには取引先の連絡先情報も含まれていたが、読者情報・取材関連情報は対象外としている。

3月上旬に取引先になりすました不正メールが送信されたことで被害が判明。日経はパスワード変更などの対応を行い、その後は不正ログインを確認していない。個人情報保護委員会への報告も完了している。日経社では2025年にもSlackへの不正ログイン事案を経験しており、SaaSアカウント管理の難しさが続いている。

2. マネーフォワード｜GitHubへの不正アクセス、ビジネスカード370件・ソースコード流出の可能性

家計簿・経費精算サービスを提供するマネーフォワードは、同社グループが利用するソースコード管理サービスGitHubの認証情報が漏えいし、第三者による不正アクセスでリポジトリがコピーされたと発表した。流出した可能性があるのは「マネーフォワード ビジネスカード」のカード保持者名（アルファベット）とカード番号の下4桁370件分、およびソースコード自体。ソースコードには各種認証キーやパスワードも含まれていた。

カード番号の全桁・有効期限・セキュリティコードの流出は現時点で確認されていない。マネーフォワードは認証情報の無効化、各種APIキー・パスワードの再発行を概ね完了し、銀行口座連携機能を一時停止して影響範囲の調査を継続している。ソースコードに本番環境の認証情報が残っていた構成自体が、エンジニア界隈で大きな議論となっている。

3. イエローハット（2りんかんイエローハット）｜中間報告で最大345万人の漏えい可能性に拡大

カー用品大手イエローハットの連結子会社・株式会社2りんかんイエローハットは、4月20日夕刻に検知した不正アクセスについて、5月1日に中間報告を公表した。最大345万5,754人分の会員情報が漏えいした可能性があるとし、当初の発表から大きく規模が拡大した。流出のおそれがあるのは氏名、住所、電話番号、生年月日、メールアドレス、会員番号、ポイント残高、アプリユーザーID、アプリパスワードなど。

クレジットカード情報は別システムで管理されており、本件による漏えいの可能性はないとしている。イエローハットは個人情報保護委員会への報告と警察への被害届提出を完了しており、本体および他子会社の顧客情報への影響はないと説明する。バイク用品専門店「2りんかん」のアプリ会員規模を考えると、中堅小売・ECにとって他人事ではない事案である。

編集部まとめ

連休明けの月曜は攻撃者が最も狙う日です。3件に共通するのはSaaSアカウント・GitHubトークン・子会社の管理者アカウントが侵入経路になっている点。今日中に「MFA未設定の管理者アカウント」「環境変数化されていない認証情報」「子会社の旧パスワード運用」を点検し、1つでも該当すれば連休前の状態に戻る前に塞いでください。

参考情報

• 日経米子会社に不正ログイン 291人の個人情報流出か（日本経済新聞）
• 「GitHub」への不正アクセス発生に関するお知らせとお詫び（マネーフォワード）
• マネーフォワード、不正アクセスで個人情報370件流出（日本経済新聞）
• 当社連結子会社（株式会社2りんかんイエローハット）における個人情報漏えいの可能性に関するご報告（イエローハット）
• イエローハットに不正アクセス、345万件の顧客情報が漏洩か（日本経済新聞）