株式会社イノベーションは8月7日、8月4日に公表したGitHubへの不正アクセスについて、調査結果を発表した。
同社グループでは、ソフトウェア開発およびシステム管理に利用している「GitHub」の認証情報が漏えいしたことによる第三者からの不正アクセスが発生しており、調査を行っていた。
漏えいが確認されたのは、「GitHub」上のリポジトリに含まれていた62,691名分の顧客情報で、その内訳は氏名（62,631件）、メールアドレス（62,691件）、電話番号（506件）。なお、顧客情報を格納している本番データベースへの不正アクセスや、本番環境からの情報漏えい、個人情報の不正利用等による被害は確認されていない。
同社では対象者に、個別に連絡を実施する。
同社では原因として下記の2点を挙げている。
1.認証情報の管理方法に不備があったこと
社内の開発システムの一部で、外部サービス（GitHub）に アクセスするための認証情報がプログラムの設定ファイル内に直接記載された状態で運用していた。この認証情報を第三者が不正に取得し、悪用したことが、今回の不正アクセスの直接の原因であった。
2.個人情報がリポジトリ内に保存されていたこと
本来、個人情報は厳重に管理されたデータベース等でのみ保管すべきものであるが、社内の分析・開発作業の過程で、一部の個人情報がGitHub上のリポジトリ内にも保存されている状態であった。
同社では、原因1、2に対し、それぞれ下記の再発防止策を実施したとのこと。
1.侵入経路となった認証情報の停止
今回影響のあった認証情報（アクセストークン）について、無効化・停止の対応を完了しており、同一の認証情報を用いた再侵入は発生しない状態となっている。
再発防止策として、認証情報（アクセストークン）自体の権限や発行ワークフローの見直しを行い、組織全体で統制された仕組みへの切り替えを実施し、根本対応が完了している。また、GitHubリポジトリへのアクセス状況の監視を強化し、不審なアクセスを早期に検知できる体制を整備。
2.個人情報がリポジトリに含まれない仕組みの構築
運用面：個人情報を含むデータをリポジトリに保存しない運用ルールへ見直すとともに、既存リポジトリの点検・是正を完了。
技術面：新たに個人情報がリポジトリへアップロードされた場合に検知する仕組みを導入。さらに、混入を未然に遮断する仕組み（自動チェック）の導入を進め、個人情報がリポジトリに保存されるリスクを最小化。
