「Codecov」への第三者からの不正アクセスによる当社への影響および一部顧客情報等の流出について

（2022年9月26日追記） 本件に関する、セルフチェックページとお問合せ窓口の提供を終了いたしました。 この度は、お客さまをはじめ多くの関係者の皆様に多大なるご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。 株式会社メルカリは、当社が利用している外部のコードカバレッジツール※「Codecov」に対する第三者からの不正アクセスにより、当社のソースコードの一部および一部顧客情報（フリマアプリ「メルカリ」で2013年8月5日〜2014年1月20日に実行された売上金の顧客口座への振込みに関連した情報17,085件、2015年11月〜2018年1月の間におけるカスタマーサービス対応に関連した情報217件、2013年5月に実施したイベントに関連した情報6件、「メルカリ」および「メルペイ」の一部取引先等に関する情報7,966件、当社子会社を含む一部従業員に関する情報2,615件）が外部流

[eru01]

カバレッジツールが不正アクセスでコードが流出する←しゃあない “ソースコード上に一部顧客情報があった”←ホームラン級のアホ

[tototokage]

誠実で真摯な対応をしてる振りをしてるけど、そもその個人情報の運用に問題があるのに触れてないし、プレスリリースが金曜夕方ってのはなぁ

[kabuquery]

マスク転売停止は遅かったのにこーいうのだけは早いな

[gowithyou]

これは、Codecovのコードカバレッジ時のテストデータに本番データを入れてテストしてたってこと？だとしたら個人情報の目的外使用じゃない？個人情報保護法的にオーケーなのか？

[tokumeimei]

だいぶ顧客情報古いから、初期のレガシーコードに含まれてたのが今回の調査で出土したって感じなのかな

[takun71]

テストデータに本物の顧客情報が含まれてたんやろか

[Ashburton]

Githubに格納されていたソースコード上に顧客情報があった！！！！！！

[spinnner]

「顧客情報でテストしてた説」はいくらなんでもあり得ないでしょ。それじゃあセキュリティ意識のカケラもないアホじゃん

[ponkiti_toya]

お客さまへの被害は確認されておりません。 って言い方やめて欲しい。個人情報流出させられたこと自体が被害なんだけど。

[awkad]

いいよなあ、イケイケなエンジニアさんは興味ある技術だけやってカッコいいプレゼンして、SIerはクソwひどいシステムしか作れないｗとくさして、泥臭いセキュリティとかは適当で流出してもサーセンでいいんだからなあ

[nemusg]

Codecovとは

[rryu]

顧客情報そのものというよりログも一緒にコミットしちゃってたとかの感じがする。今は削除済みでもコミットログから辿れそうな気がするし。

[dkfj]

おー、かなり詳細に報告している。こういう姿勢は好感もてる。CI/CDがGitHubを介して開発環境と本番環境につながるところは、セキュリティ上の課題として改めて浮かんできたな。今度、じっくり検討しよう

[yimajo]

“4月27日、調査の過程において不正アクセスされたソースコード上に一部顧客情報があったことが判明いたしました。一方で、当該時点において外部から当社への断続的な不正アクセスの試行を確認しており”

[kesyomota]

どこに、なぜ個人情報があったかという経緯はもっと踏み込んで欲しいなあ / 月曜になると各所でうちは大丈夫か！って騒ぎになったりしそう

[legoboku]

Github上に顧客情報あったの？

[ryuichi1208]

最強はsvnかな

[kasuke18]

“■ 「GitHub」上に格納されていた//ソースコードの一部 ■ 上記ソースコード内に含まれる、以下のデータ並びに一部取引先および当社子会社を含む従業員に関する情報”

[ys0000]

最新のコードだけでなく、過去のコミットに含まれた不適切なデータまで調べるならそりゃ時間が掛かるでしょ。filter-branch 使わなかったのが敗着ということかな。この内容だとちょっと叩くのはどうかと思う。

[yukari_gohan]

codecovにGithubの権限渡しててIssueにキャンペーン対象者の情報リストのファイル貼り付けてたとかそういう感じかな

[yojik]

“Codecov”

[caynan]

不正アクセスの表面的な話に終始していて、なぜ個人情報が漏れることになったのかについては何もわからない。これは不誠実といわれても仕方ない。さすが不誠実企業メルカリ。

[fujiriko59]

なんだかいつからかやばいことになったらやたらハイコンテクストなリリースするようになったなあ

[yancy1969]

原因は、個人情報をGithubに上げてたことでしょ

[kuroaka1871]

Githubに個人情報含むソースを置いていた！？

[asa_ca3]

Codecov → Github → 何か → 色んなデータ かな？そのままテストは流石にしないでしょうし…認証情報連鎖的に辿れないようにしておかねば

[scipio1031]

金曜夕方に発表ってそれ以降新しいニュース入ってきづらいからいつまでもいじられて、社員も生きた心地しないし、悪手オブ悪手だと思うな。

[marshi]

ほんとにソースコードと一緒に顧客情報そのものが置かれてたのかなあ。実際はawsのトークンとかが置かれててそこから抜かれたのをプレスリリースの伝達過程でごっちゃになったんじゃないかと疑ってしまう

[monotonus]

毎度思うがこの手の情報流出でユーザーに何も補償やサポートはしないんだろうか。IT屋の職業倫理ってそんなもんかねえ。

[korosuke613]

なぜ顧客情報をソースコードに....？

[eepub]

別件のデカイ流出ニュースとぶつけて、目立たないようにしてるのでは。。

[ba-shi]

メルカリログインできないから問い合わせたら「免許証の写真を送ってください」と言われたけど、怖いから送らなかった。正解だったようだ。

[notae]

「4月27日、調査の過程において不正アクセスされたソースコード上に一部顧客情報があったことが判明いたしました。」

[ryun_ryun]

メルカリが本人確認を勧めてきてるが、怖くて免許証の写真なんてアップロードできんよ。

[netanetia]

エグ目の射幸心煽るようなことやってんなーとは思ったが、相応しい末路

[kenuuun]

これだけ説明してくれたら良いと思う。

[yug1224]

GitHubに顧客情報がコミットされていた！？

[z1h4784]

メルカリ「これなんとかして朝日と毎日のせいにできないかな？」／いくら何でも口座情報まで本番からコピーするなよ…

[utsuidai]

設立初期か…バックアップしたデータがなんかのpushに紛れ込んだとかなのかなぁ。

[mather314]

なんでここに顧客情報があるんや / “不正アクセスされたソースコード上に一部顧客情報があったことが判明いたしました”