https://hdknr.github.io/blogs/tags/oidc/Recent content in OIDC on hdknr blogHugo -- 0.157.0jaSat, 25 Apr 2026 00:00:00 +0000https://hdknr.github.io/blogs/posts/2026/04/campfire-%E5%80%8B%E4%BA%BA%E6%83%85%E5%A0%B1%E6%BC%8F%E6%B4%A9%E3%81%8B%E3%82%89%E5%AD%A6%E3%81%B6-github-%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E4%BE%B5%E5%AE%B3%E3%81%8C%E6%8B%9B%E3%81%8F-ci/cd-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%83%AA%E3%82%B9%E3%82%AF/Sat, 25 Apr 2026 00:00:00 +0000https://hdknr.github.io/blogs/posts/2026/04/campfire-%E5%80%8B%E4%BA%BA%E6%83%85%E5%A0%B1%E6%BC%8F%E6%B4%A9%E3%81%8B%E3%82%89%E5%AD%A6%E3%81%B6-github-%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E4%BE%B5%E5%AE%B3%E3%81%8C%E6%8B%9B%E3%81%8F-ci/cd-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%83%AA%E3%82%B9%E3%82%AF/<p>クラウドファンディングプラットフォーム CAMPFIRE が、GitHub アカウントへの不正アクセスを起点に最大 22 万 5,846 件の個人情報が漏洩した可能性があると発表しました（2026 年 4 月 24 日）。単なる「パスワード流出」ではなく、<strong>CD パイプラインを悪用してインフラを乗っ取るという、現代の DevOps が抱えるリスクを象徴するインシデント</strong>です。本記事ではエンジニア視点で攻撃経路を分析し、再発防止策を考えます。</p> <h2 id="インシデントの経緯">インシデントの経緯</h2> <table> <thead> <tr> <th>日時</th> <th>出来事</th> </tr> </thead> <tbody> <tr> <td>2026-04-02 22:50</td> <td>GitHub アカウントへの不正アクセスを検知。一部ソースコードが閲覧された可能性（初報）</td> </tr> <tr> <td>2026-04-14</td> <td>第二報：社員・取引先情報の閲覧可能状態を確認</td> </tr> <tr> <td>2026-04-22</td> <td>第三報：顧客情報管理システムへの不正アクセス痕跡を確認</td> </tr> <tr> <td>2026-04-24</td> <td>個人情報漏洩の可能性を正式発表（最大 22 万 5,846 件）</td> </tr> </tbody> </table> <p>漏洩した可能性がある情報は以下のとおりです:</p> <ul> <li><strong>プロジェクト実行者</strong> 12 万 929 件：氏名・住所・電話番号・口座情報など（2021 年 2 月以降）</li> <li><strong>支援者</strong> 13 万 155 件：氏名・住所・口座情報など（PayPal 決済、後払い、口座送金返金ユーザー）</li> <li>うち <strong>8 万 2,465 件</strong>が口座情報を含む</li> <li>クレジットカード情報は対象外（CAMPFIRE 公式発表）</li> </ul> <h2 id="推定される攻撃経路">推定される攻撃経路</h2> <p>エンジニア向け技術解説として、@poly_soft（勝又健太）氏が X（旧 Twitter）で以下の攻撃チェーンを推察しています。この分析は公式発表を補完する形で、攻撃者が具体的にどう動いたかを示しています（以下はあくまで推定です）。</p> <h3 id="step-1-cd-権限を持つ-github-アカウントの侵害推定">Step 1: CD 権限を持つ GitHub アカウントの侵害（推定）</h3> <p>攻撃者が最初に侵害したのは、<strong>単独で CD（継続的デプロイ）をトリガーできる権限を持つ GitHub アカウント</strong>であったと推定されます。</p> <p>問題の設定として考えられるのは:</p>