CAMPFIRE未经授权访问：225,846条独特用户记录面临风险——用户与开发者应采取的行动

自2026年4月24日起，公司已逐一向受影响人员发送邮件，邮件日文主题为“【重要：CAMPFIRE】お客様情報漏えい可能性に関するお詫びとご報告”（关于客户信息可能泄露的致歉与报告）。受影响群体包括：

• 截至2026年4月9日前使用过服务的部分项目及社区发起人
• 使用PayPal付款（2021年1月1日至2026年4月19日）或“Kondo-barai”延期付款（2022年1月3日至2023年4月24日）的支持者
• 通过银行转账收到退款的支持者（2022年1月6日至2026年3月5日）
• 截至2025年3月5日登记的合作伙伴
• 2020年在账户页面修改过银行信息的人员

如果您符合以上任一条件但找不到该邮件，请仍按以下步骤操作。

可能受风险影响的数据包括姓名、地址、电话号码、电子邮件地址和银行账户信息。如果您收到“为退款重新注册账户”或“请确认资金应汇至何处”之类的消息，请不要打开链接；如有需要，请通过书签或您自行输入的地址登录CAMPFIRE。公司表示从不会通过电话或电子邮件索要PIN码（基础知识：什么是网络钓鱼）。

公司表示，可能泄露的银行信息本身无法用于提取现金或转账。如果您发现不熟悉的交易，公司要求您立即联系银行或公司。如果您使用网上银行，开启交易提醒会更便于及时发现。

由于包含地址信息，公司警告可能出现寄送您从未订购的货到付款包裹的诈骗。收货前请检查寄件人和内容物。

公司建议在其他服务上使用相同电子邮件地址和密码的人员作为预防措施予以更改。密码不在上述列出的项目之中，但请立即停止重复使用；使用密码管理器是较为可行的做法。

如果是公司或团体经营您的项目，员工可能会收到冒充收款或审核通知的邮件。请团队统一约定在CAMPFIRE后台核实收款账户的变更，切勿仅凭邮件指示行事。

公司专线为0120-188-070（自7月起仅限工作日10:00–19:00，日本境内免费）；在日本，如有诈骗相关疑问，可拨打警察咨询热线#9110。

在组织的“设置”中的“Personal access tokens”里，GitHub允许组织所有者：

• 禁止个人访问令牌（经典版）访问组织资源
• 要求管理员批准细粒度令牌（较新的类型，可限定特定代码仓库和权限）
• 设置令牌的最长有效期

由于无法完全防止工作令牌出现在个人设备或服务器上，现实的防御思路是：即便令牌泄露，也要确保它很快失效，并且只能访问极少的资源。

公司表示，第三方利用GitHub上可见的信息找到并获取了云环境凭证。如果您使用GitHub Actions部署到云端，请改用基于OpenID Connect（OIDC）的短期认证，它会为每次运行签发临时凭证，同时确保长期访问密钥不出现在代码仓库和配置文件中。

首先检查代码仓库（包括提交历史），对发现的任何密钥予以吊销并重新签发；参见使用gitleaks在提交前发现密钥。GitHub的推送保护功能可阻止包含密钥的推送，对公开代码仓库免费提供，对私有仓库则需作为付费的GitHub Secret Protection的一部分使用。

分析平台、内部工具、客服管理后台、导出的CSV文件等。无论生产环境加固得多好，其他环境中的客户数据副本仍可能泄露。对每一处位置，记录哪些人的凭证可以读取，以及相关操作是否有日志。

CAMPFIRE表示，由于部分区域没有日志，无法排除数据被查看的可能。在没有操作日志的地方，您无法证明没有人查看过数据。