MoneyFowardにようやく続報〜ソースが漏れた場合はどうなったら復旧と言えるようになるのか？
4日経って続報がでましたね
5/3からMoneyFowardがとまりました。まさかのGitHubからのソースコード漏洩。個人情報は数百件しか漏れなかったようですが、それはそれでGitHubから何故本番の顧客情報が漏れるのだ！ということで問題になっていました。（テストで本番データ少し使ったんでしょうね、気持ちはわかるけど、やってはいけない）
続報の内容
そして、4日ぶりにようやく続報が。まあ、GW中だし仕方ないでしょうか。
システム対応中で口座連携が正常に行えていない金融関連サービスの一覧（2026年5月7日 10:30 現在）
ただ、報告の内容がよくわからないです。現在対応中の金融機関リストがでていましたが、掲載されていない金融機関も多い。私も使っている、三菱UFJとかはここに乗っていないですが、それは対応がおわったということなのだろうか？？
ただ、冒頭に全ての連携を停止中なので、三菱UFJだろうが連携しないですね。
再開の目処が経っていない金融機関一覧もありますが、この差はなんなんでしょうね。
それにしてもどういう状態を復旧と定義するのか興味があります。
今回は、本番システムが攻撃されたわけではなく、やる気になれば今すぐにでも再開はできるでしょう。
個人情報の漏洩は少し脇に置くとして、今回のようにシステムのコードが漏洩した場合はどのような対応を取れば、復旧が完了したと定義されるのでしょうか？
普通に動くけど、裏で悪い人がソースコード握っていたら、いつかハッキングされてしまうのか。
ソースコードが漏れても、攻撃の穴がなければ、そのままのコードで行くのか。流石に大幅にソースを書き直すってわけにもいかないでしょうし。
追加で何らかのセキュリティ措置を施して、ソースが漏れても大丈夫！って決着になるのでしょうか？
AIに聞いてみるか。。
MoneyFowardのように、ソースコードが漏洩した場合、復旧完了の状態をどのようにていぎしたらいいのでしょうか？
まず前提として、ソースコード漏洩は通常のデータ漏洩とは性質が違います。顧客データの漏洩であれば「パスワードを変えてもらう」「カードを再発行する」など明確なゴールがありますが、ソースコードは一度コピーされると「取り返す」ことができません。
つまり「元に戻す」という意味での復旧はそもそも不可能で、「漏れた情報を前提に、安全な状態を作り直す」ことが復旧の定義になります。
復旧完了の定義：5つの観点
① 侵入経路の遮断（緊急対応）
不正アクセスに使われたルートを完全に塞ぐこと。マネーフォワードの場合は、不正アクセスの経路となった認証情報の無効化とアカウントの遮断を完了しています。これが最初のステップです。 ←ただこれはGitHubがやられたのなら本番環境には不正アクセスのルートは破られていないのかも
完了の基準： 攻撃者が同じ方法で再びアクセスできないことをフォレンジック（専門調査）で確認できた状態。
② 認証情報の「総入れ替え」
ソースコードに含まれる各種認証キー・パスワードの無効化と再発行が必要です。ソースコードの中にAPIキーやパスワードが書かれていた場合、それらが悪用されるリスクがあるため、すべてを新しいものに交換します。
完了の基準： 流出したリポジトリ内に含まれていた認証情報が、すべて無効化され、新しいものに置き換えられたことを確認できた状態。
③ 脆弱性の点検と補強
ソースコードの流出により、攻撃者が内部ロジックを解析して未知の脆弱性を発見できる可能性があります。つまり、「設計図を見られた以上、弱点を突かれるかもしれない」ということです。
完了の基準： ソースコードを第三者が読んだ前提で、セキュリティの専門家がコードを見直し（セキュリティレビュー）、発見された脆弱性をすべて修正した状態。
④ 影響範囲の確定と開示
漏れた情報の範囲を正確に特定し、関係者に伝えること。マネーフォワードは、流出した可能性のある個人情報としてビジネスカード370件分のカード保持者名と番号下4桁を特定し、対象者に個別連絡する対応を取っています。
完了の基準： 「何が漏れたか」「何は漏れていないか」が確定し、関係する顧客・監督官庁・金融機関への報告が完了した状態。
⑤ 再発防止策の実装
同じことが二度と起きないよう、仕組みを変えること。認証情報をソースコードに直接書き込むのではなく、シークレット管理サービスで分離して管理するのが鉄則とされています。
完了の基準： 技術面（シークレット管理の導入、アクセス制御の強化など）と運用面（ルールの見直し、教育の実施など）の両方で対策が実装され、有効性が確認できた状態。
まとめ：「復旧完了」の一言でいうと
「漏洩したソースコードが悪用されても被害が発生しない状態を作り、その状態を継続的に維持できる体制が整ったこと」
これが復旧完了の定義です。「漏れたものを消す」ではなく、「漏れた前提で安全を確保する」という発想の転換がポイントになります。
ちなみに、マネーフォワードのケースでは銀行口座連携機能の一時停止を行い、提携金融機関との安全性確認を進めている段階で、まだ完全な復旧完了には至っていないようです。特にフィンテック企業の場合は、金融機関との信頼回復も「復旧完了」の条件に含まれるため、時間がかかる傾向があります。
なかなか復旧までの山谷は険しそうですね。
そんなところで
