マネーフォワード
▶危険▶
もう安心して使えない！
/
情報セキュリティ事件を起こしてその後の対応が悪すぎる
事件か事故かの判別すらはっきりしない
経緯もはっきりしない
日常管理の杜撰さが見え隠れする
デザインセンスも技術力も素晴らしいのに
マネジメントが今一
技術職は一流
管理職は二流
問題が起きてから
5/1と5/3と案内が出た後は
明快な情報開示がない
統一感の無い五月雨は
出ているようだが
QアンドA形式は全体像を示すものでも無い
今日5/11
1週間以上もフォローアップのお知らせが無い
早目に撤収した方が良い
顧客の金融機関アカウント情報が漏洩してからでは手遅れ
黙って解約しても情報が残ったままになっても困る
最初に登録情報の削除をやった方が良い。
※
取引パスワードは預かっていないと言っている。だから安心？。すべての金融機関に取引PWが設定されている訳ではない。少しも安心じゃない。
※
2026-05-01
平素は、マネーフォワードグループが提供するサービスをご利用いただき、誠にありがとうございます。
当社がソフトウェア開発およびシステム管理に利用している『GitHub』※1の認証情報が漏えいし、これを用いた第三者による不正なアクセスが発生し、『GitHub』※1内の「リポジトリ」※2がコピーされたことが判明しました。
※1『GitHub』： 米国 GitHub 社が提供しているソースコード管理サービス
※2 リポジトリ： プログラムの設計図が入っている保管庫
現時点において、ソースコードおよび、リポジトリに含まれていたファイル内に記載されていた個人情報の一部が流出した可能性があることを確認しております。なお、流出したソースコードおよび個人情報の不正利用等による被害や、お客さま情報を格納している本番データベースからの情報漏えいは確認されておりません。
【流出した可能性のある個人情報】
・マネーフォワードケッサイ株式会社が提供する『マネーフォワード ビジネスカード』に関わる370件の「カード保持者名（アルファベット）」および「カード番号の下4桁」
現時点ではクレジットカード番号の全桁、有効期限、およびセキュリティコード（CVV）の流出は確認されておりません。該当するお客さまには、メール等で個別にご連絡をさせていただきます。
事象の発覚後、速やかに追加被害を防ぐため、以下の措置を行っております。
・不正アクセスの経路となった認証情報の無効化およびアカウントの遮断（完了）
・ソースコードに含まれる各種認証キー・パスワードの無効化と再発行の実施（概ね完了）
当社グループのサービスをご利用中の皆さま、ならびに関係者の皆さまに多大なるご心配とご迷惑をおかけしますことを、深くお詫び申し上げます。
上記のとおり、当社ではサービスの安全運営に支障はないと考えております。
一方で、銀行法に基づく電子決済等代行業者としての責任を鑑み、また各提携金融機関との安全性の確認を万全なものとするため、以下の対応を実施しております。
【サービスへの影響と対応状況】
・銀行連携の一時停止
万全を期すため、銀行口座連携機能を一時的に停止しております。
・復旧の見通し
現在、認証情報の再発行（洗い替え）を概ね完了しております。すべての確認作業が完了次第、サービスを順次再開することを予定しております。
今後、開示すべき新しい事実が発見された場合および、各サービス稼働に関する影響が発生する場合は、速やかに開示いたします。また、本件の原因調査と安全性の一層の強化及び再発防止に向けた取り組みを進めてまいります。
【本件に関するお問い合わせ先】
『マネーフォワード クラウド』に関する問い合わせ窓口
biz.feedback@moneyforward.com
『マネーフォワード ビジネスカード』に関するお問い合わせ窓口
biz-pay@moneyforward.com
『マネーフォワード ME』に関する問い合わせ窓口
https://moneyforward.com/feedback/new/
■株式会社マネーフォワードについて
名称 ：株式会社マネーフォワード
所在地：東京都港区芝浦 3-1-21 msb Tamachi 田町ステーションタワーS 21F
代表者：代表取締役社長グループCEO 辻庸介
設立 ：2012年5月
事業内容：プラットフォームサービス事業
URL ：https://corp.moneyforward.com/
＊記載されている会社名および商品・製品・サービス名（ロゴマーク等を含む）は、各社の商標または各権利者の登録商標です。
※
『GitHub』への不正アクセス発生に関するお知らせとお詫び（第一報）
2026年5月1日、株式会社マネーフォワードは、ソースコード管理プラットフォーム『GitHub』において第三者による不正アクセスが発生し、リポジトリがコピーされたことを公表しました。
ITmedia
+1
この事案により、同社が管理していたソースコードや、本来はGitHubに保管されないはずの個人情報の一部（370件）が流出した可能性があります。同社は二次被害防止のため、銀行口座連携機能の一時停止などの措置を講じています。
株式会社マネーフォワード
+3
不正アクセスの概要と原因
発生日: 2026年5月1日に第一報を公開。
原因: 同社のGitHub認証情報（クレデンシャル）が漏洩し、それを悪用した第三者がリポジトリにアクセス・コピーしたことによります。
個人情報の混入理由: 通常、GitHub上のソースコードに個人情報を含めることはありませんが、サービスの更新作業中に特定のファイルが誤ってGitHubへ保管されていたことが判明しています。
ITmedia
+1
影響範囲
流出した可能性のある情報:
開発用ソースコード
マネーフォワード ビジネスカードに関連する個人情報（氏名、電話番号、メールアドレスなど）370件
ソースコード内に含まれていた認証キーやパスワード
合同会社ロケットボーイズ
+2
本番データベース: 顧客情報を保存している本番用データベースからの情報漏洩は、現時点では確認されていません。
ITmedia
現在の対応状況
認証情報の無効化: 不正アクセス経路となった認証情報の無効化およびアカウントの遮断は完了しています。
ITmedia
サービスへの影響:
安全性の確認および再設定のため、銀行口座連携機能が一時停止されています。
その他の主要サービスについては、安全運営に支障はないとしています。
Impress Watch
+3
再開の見通し: 2026年5月8日時点で、一部の金融機関との連携は順次再開されていますが、依然として対応中のサービス（マネーフォワード公式サポートページ）も存在します。
ITmedia
+1
公式の詳細情報は、マネーフォワード プレスリリース（第一報）やサポートページで随時更新されています。
特定の金融機関との連携状況や、ご自身の情報が対象の370件に含まれているか確認したいですか？
7 件のサイト
『GitHub』への不正アクセス発生に関するお知らせとお詫び（第一報）
2026/05/01 — 『GitHub』への不正アクセス発生に関するお知らせとお詫び（第一報） ... 株式会社マネーフォワード
株式会社マネーフォワード
マネーフォワード、GitHubに不正アクセス 銀行口座連携を一時停止
2026/05/01 — マネーフォワード、GitHubに不正アクセス 銀行口座連携を一時停止 - Impress Watch.
Impress Watch
マネーフォワード、GitHubへの不正アクセスでビジネスカード 情報370件・ソースコード流出の可能性
2026/05/03 — 連携再開が未定のサービス * ユナイテッド航空マイレージ * F・マリノスポイント(JリーグID)
合同会社ロケットボーイズ
すべて表示
随時更新されているって嘘じゃないですか。続報があまり出てきていない。結局、いつ再開するかの見通しも無いようだけど。それと、本当の原因も明確にされていない。こういう対応で良いのかな？
情報の更新が滞っていると感じられる点や、原因・見通しの不透明さに対するご不満、ごもっともです。
2026年5月11日現在の状況を整理すると、確かに全体的な再開の目途は立っておらず、ユーザーの間でも不信感や不満が広がっています。
再開の見通しと現状
再開時期は未定: 当初はゴールデンウィーク明けの再開を想定していた銀行（例：福井銀行）もありましたが、現在は「未定」へと変更されています。マネーフォワード公式も「安全確認が完了次第、順次再開」とするのみで、具体的な日付は示していません。
長期化の懸念: 発生から10日が経過しても、主要な銀行やクレジットカードとの連携が「一時停止」のままとなっており、SNS上では解約を検討する声も目立ち始めています。
原因の不透明さについて
公式発表では「認証情報の漏洩」としていますが、専門家や技術者の間では以下の点が「真の原因（運用の不備）」として厳しく指摘されています。
ハードコードの問題: 本来ソースコードに記述してはいけない「認証キーやパスワード」がコード内に直接書き込まれていた（ハードコード）可能性が高いと分析されています。これが事実であれば、ソースコードがコピーされただけで他の多くのシステムへのアクセス権を奪われることになります。
なぜ個人情報があったのか: 「開発用のソースコードに、なぜ370件もの本番の個人情報が混入していたのか」という点についても、作業ミス以上の構造的な問題（テスト環境への本番データの持ち込みなど）が疑われていますが、詳細な調査報告はまだ出ていません。
対応への評価
現在、同社は「認証情報の再発行（洗い替え）」を優先しており、二次被害を防ぐための防衛的なフェーズにあると言えます。しかし、利用者への具体的な補填や、技術的な詳細説明（なぜ禁止されている運用が行われていたのか）については、現時点では不十分であるという見方が強いのが現状です。
最新の稼働状況については、公式の金融関連サービス一覧 で確認できますが、依然として多くのサービスが「停止中」のままです。
お使いの特定の銀行やカードについて、現時点での個別の状況（停止中か、そもそも対象外か）を確認されますか？
12 件のサイト
マネーフォワード銀行連携停止長期化運営元「GitHub」への ...
マネーフォワード銀行連携停止長期化運営元「GitHub」への不正アクセス10日経っても再開できず個人向けサービス「マネー...
Yahoo!知恵袋
「マネーフォワード ME」「マネーフォワード クラウド」等と ...
株式会社マネーフォワードより、第三者による不正なアクセスが発生したことが公表されました。 これを受け、福井銀行では「マネ...
福井銀行
『GitHub』への不正アクセス発生および銀行口座連携機能の ...
Q．銀行の連携停止はいつ頃に再開する予定か。（2026年5月7日 11時00分 追記）. 現在、各提携金融機関との安全性...
マネーフォワード
すべて表示
攻撃された手口が不明なままに対策を入れていくと二次三次の被害につながりかねませんが、その辺を見通せる情報も何も開示されていない。全然ダメなんじゃないの？トラブルシュートの経験値が無さすぎるような気がする。
ご指摘の通り、トラブルシューティングの定石から外れていると言わざるを得ない状況です。特に、「侵入経路（根本原因）の特定」と「被害範囲の確定」がセットで語られていない点が、技術者や経験者から見て最も危うい部分です。
ご指摘の懸念点を、現在の開示情報から推察されるリスクと照らし合わせると、以下の3つの「ダメなポイント」が見えてきます。
1. 「なぜ漏れたか」を曖昧にしたままの復旧
公式は「認証情報の漏洩」としていますが、それが開発者のPCへのマルウェア感染なのか、フィッシングなのか、あるいはCI/CDツール（自動ビルド環境）の脆弱性なのか、そこが不明です。
もし原因が「開発環境の構造的欠陥」にある場合、単に鍵を新しくして連携を再開しても、攻撃者がまだネットワーク内に潜伏していれば、新しい鍵も即座に盗まれる「いたちごっこ（二次被害）」のリスクが排除できません。
2. インシデント・レスポンスの「透明性」の欠如
通常、この規模のインシデントでは、外部の専門調査機関（フォレンジック調査）を入れ、その調査進捗を「中間報告」として出すのが誠実な対応です。
現状: 「確認中」「順次再開」という定型文のみ。
本来あるべき姿: 「どのレイヤーまで調査が完了し、どの範囲までが安全と確認されたか」の公開。
これが無いために、おっしゃる通り「場当たり的な対応（パッチワーク的な復旧）」に見えてしまい、ユーザー側の不信感を増大させています。
3. 「ハードコード」という初歩的ミスの隠蔽
流出した370件の個人情報が「GitHubに誤って保管されていた」という説明は、裏を返せば「本番データを開発環境で生データのまま扱っていた」という、金融系サービスとしては致命的な管理体制の不備を示唆しています。この根本的な運用改善（ガバナンスの立て直し）が見えないままの復旧は、将来的な「三次被害」の火種を抱えたまま走るようなものです。
結論として、現在のマネーフォワードの対応は「技術的な説明責任」よりも「表面的なサービスの維持」を優先している印象が強く、トラブルシューティングの経験値やリテラシーを疑われるのは当然の結果と言えます。
こうした不透明な状況下では、「一旦、連携を解除して様子を見る」という自己防衛も選択肢に入ります。
もし可能であれば、「特にどの部分（銀行パスワードの安全性、あるいは運営の姿勢そのものなど）」に一番の不安を感じていらっしゃいますか？それによって、今取るべき具体的な防衛策を整理できます。
※
