CAMPFIREの不正アクセス：対象ユーザー約22.6万件に漏えいのおそれ、利用者・開発者の対策

同社は2026年4月24日から、対象者の登録メールアドレスに件名「【重要：CAMPFIRE】お客様情報漏えい可能性に関するお詫びとご報告」で個別に連絡しています。対象は次のとおりです。

• 2026年4月9日までに利用したプロジェクトオーナー・コミュニティオーナーの一部
• PayPal決済（2021年1月1日〜2026年4月19日）・こんど払い（2022年1月3日〜2023年4月24日）を使った支援者
• 口座送金で返金を受け取った支援者（2022年1月6日〜2026年3月5日）
• 2025年3月5日までに登録したパートナー
• 2020年にマイページの口座情報を編集した人

メールが見当たらなくても、この条件に当てはまるなら以下を進めてください。

漏えいのおそれがあるのは氏名・住所・電話番号・メールアドレス・口座情報です。「返金手続きのため口座を再登録」「支援金の振込先を確認」といった連絡が来ても、本文のリンクは開かず、必要ならブックマークや自分で入力したアドレスからCAMPFIREにログインして確認します。同社は、電話やメールで暗証番号を尋ねることは一切ないとしています（見分け方は フィッシングとは）。

同社は、漏えいした可能性のある口座情報だけでは、口座から現金を引き出したり振り込んだりはできないと説明しています。そのうえで、明細に身に覚えのない取引があれば、すぐに金融機関か同社の窓口に相談するよう案内しています。ネットバンキングを使っているなら、入出金の通知メールやアプリ通知を有効にしておくと、確認の手間が減ります。

住所が含まれているため、同社は頼んだ覚えのない代金引換の郵便物を送りつける詐欺にも注意するよう呼びかけています。受け取る前に、差出人と中身に心当たりがあるかを確認してください。

同社は、他社サービスで同じメールアドレスとパスワードを使っている場合、念のため変更するよう呼びかけています。漏えい対象の項目にパスワードは挙がっていませんが、使い回しを解消する機会にしてください。棚卸しは パスワードマネージャー に任せるのが現実的です。

法人や団体でプロジェクトを運営している場合、支援金の振込先や審査を装うメールが担当者に届く可能性があります。振込先の変更などはCAMPFIREの管理画面で直接確認する、メールの指示だけで操作しない、というルールをチームで共有しておきます。

困ったときは同社の専用窓口 0120-188-070（10時〜19時、7月以降は平日のみ）、詐欺の被害や懸念があれば警察相談専用電話 #9110に相談できます。

GitHubでは組織のオーナーが、組織の Settings の「Personal access tokens」で次を決められます。

• 古い形式のトークン（personal access token (classic)）で組織のリソースにアクセスさせない
• fine-grainedトークン（アクセスできるリポジトリや権限を細かく指定できる新しい形式）を管理者の承認制にする
• トークンの有効期限の上限

業務用のトークンが個人の端末やサーバーに置かれることを完全には防げない以上、置かれても短期間で使えなくなる、アクセスできる範囲も狭い状態にしておくのが現実的な備えです。

同社の説明では、第三者はGitHub上で閲覧できた情報をもとにクラウドの認証情報を探索・取得しました。GitHub ActionsからクラウドへデプロイするならOpenID Connect（OIDC）による短期の認証（実行のたびに一時的な認証情報を発行する方式）に切り替え、リポジトリや設定ファイルに長期のアクセスキーを置かないようにします。

まず過去の履歴を含めて秘密情報を洗い出し、見つかったキーは無効化・再発行します。手順は gitleaksでコミット前に秘密情報を検出する で解説しています。秘密情報を含むpushをGitHub側で止める仕組み（push protection）は、公開リポジトリなら無料で、非公開リポジトリでは有償の機能（GitHub Secret Protection）として使えます。

分析用のデータ基盤、社内ツール、サポート用の管理画面、書き出したCSV。本番環境をどれだけ固めても、顧客情報の写しが別の環境にあれば、そこから漏れるおそれがあります。場所ごとに「誰の・どの認証情報で読めるか」「操作ログが残るか」を書き出してください。

同社は、一部にログが取得されていない領域があったため閲覧の可能性を否定できないとしています。操作ログが残っていない場所では、不正な閲覧がなかったことも証明できません。