この度、ソフトウェア開発のプラットフォームである「GitHub」上で、当社グループ（グループ会社のP2C Studio株式会社、UUUM GOLF株式会社、NUNW株式会社、LiTMUS株式会社を含む、以下当社）の管理下全てのソースコードを取得可能な認証キーが公開状態にあり、ソースコードに含まれるデータベースへのアクセスキーを利用することでデータベースに保存されている個人情報へアクセスできる状態であったことが判明致しました。
当社のサービスをご利用されているお客様をはじめ、関係者の皆様に多大なるご迷惑とご心配をおかけする事態となりましたことを深くお詫び申し上げます。
今回の事象について、2022年10月25日付で個人情報保護委員会への報告を行った上で、個人情報へのアクセス有無について社内および外部機関による調査を進めてまいりましたが、アクセス履歴は確認されませんでした。
1. 経緯と対応
2022年10月21日、ソフトウェア開発のプラットフォームである「GitHub」の当社管理下全てのソースコードを取得可能な管理者権限を持つ認証キーが、当社が運営するWebサーバー内において閲覧可能な状態であることを確認致しました。
2022年6月19日以降2022年10月21日まで、この認証キーを利用することで第三者が「GitHub」上にある非公開を含む当社管理下全てのソースコードを取得することが可能であり、かつソースコードにあるアクセスキーを使いデータベースへアクセスすることで個人情報を閲覧・取得することができる状態にありました。
GitHub社提供のログ確認の結果、当社管理下のソースコードのうち、一部の外部向けシステム（CREAS、UUUM iD）、社内システム（集計システム、各種ユーティリティ）のソースコードへのアクセスが確認できました。
同日、直ちに「GitHub」にアクセス可能な認証キーを無効化し、その後、当社データベースへのアクセスキーの変更等を順次実施致しました。
また、ソースコード上のアクセスキーを用いて、個人情報へのアクセスの有無を調査いたしましたが、アクセス履歴は確認されませんでした。
2. 今回の原因について
当社の開発組織内で「GitHub」の認証キーの不適切な取り扱いがあり、強力な権限を持つキーを本番サーバーにアップロードしたことが原因です。
当社として個人情報を適正に取り扱うことは、重要な社会的責務であることを改めて認識し、個人情報保護とその管理を徹底するとともに、セキュリティ体制の強化を進めてまいります。
3. お客様へのお願い
11月10日時点で本件に関わる個人情報の不正利用は確認されておりませんが、当社を装う不審なメール等にはご注意くださいますようお願い申し上げます。
4. 本件に関する問い合わせ
本件に関するご不明な点がございましたら、以下よりお問い合わせを受け付けております。
