マネーフォワードの銀行連携、再開率99％超でも「完全復旧」に至らないワケ

　マネーフォワードは5月1日、ソフトウェア開発などに使うソースコード管理サービス「GitHub」への不正アクセスを公表し、同日、家計簿アプリ「マネーフォワード ME」やクラウドサービスの銀行口座連携機能を停止した。流出した可能性があるのはソースコードと一部の個人情報で、本番データベースへの侵害や利用者の資産への被害は確認されていない。

　連携は12日から順次再開し、同社によると29日時点の再開率は99％を超えた。それでも、事故から約1カ月たつ今も完全復旧には至っていない。技術的な対策は完了したと同社は説明するが、復旧の最後の一歩が長引く理由は、マネーフォワードが銀行法上の「電子決済等代行業者」として連携機能を提供している点にある。

　まずはマネーフォワードに何が起きたのか、事態の全体像を整理しておこう。

　流出したのはGitHubの認証情報で、これを使った第三者が不正にアクセスし、ソースコードなどを管理する「リポジトリ」がコピーされた。リポジトリ内のファイルに含まれていた個人情報の一部も、流出した可能性がある。

　対象は、グループ会社のマネーフォワードケッサイが手がける「マネーフォワード ビジネスカード」に関する情報370件分で、内訳は「カード保持者名」と「カード番号の下4桁」だ。番号の全桁や有効期限、セキュリティコードの流出は確認されていない。

　その後の詳細な調査でも、本番データベースからの情報漏えいや、データベースへの侵害・改ざんは確認されなかった。利用者にパスワード変更などを求める必要はないという。一方、流出した個人情報の範囲は精査を続けるとした。

　同社は11日に調査の進捗（第二報）、12日に連携の順次再開（第三報）を公表し、20日に補償の方針を発表した。

　前述の通り、本番データベースへの侵害は確認されていない。では、実害が確認されていないのに、なぜ連携を止めたのか。

　理由は、流出したソースコードそのものにある。広報部は、本番データベースや利用者の資産への直接の影響はなかったとしたうえで、ソースコードが流出した事実を重く受け止めた、と説明する。

　というのも、ソースコードを解析されれば、システムの弱点を突く攻撃に悪用されかねないからだ。マネーフォワード広報部は「ソースコードの分析により、将来的に脆弱性を突いた二次攻撃を受ける潜在的リスクを排除しきれなかった」と話す。

　二次攻撃は、おおむね次のような筋道をたどる。ソースコードがあれば、攻撃者はシステムを中身の見えない箱としてではなく、設計図を手にした状態で調べられる。外部からは気づきにくい処理の不備や認証の抜け穴を読み解かれ、コード内に認証情報やAPIキーが残っていれば侵入の足がかりになる。組み込まれたライブラリのバージョンが判明すれば、既知の脆弱性も突きやすくなる。こうして見つけた糸口から、本番システムへの侵入が試みられる。

　つまり今回の停止は、被害が起きてからの対応ではなく、その芽をあらかじめ断つ予防的な措置だった。金融に近い領域でデータを預かるサービスでは、実害の有無以上に、リスクをどこまで見込んで動くかが問われる。

　これらは流出時点で警戒したリスクで、すでに対処は済んでいる。流出したソースコードは再検査して問題に対応し、含まれていた認証キーやパスワードも無効化・再発行したという。ただし、止めた連携を元に戻す段になると、判断はマネーフォワード1社では完結しない。

　安全性が保たれていたとしても、利用者が一定期間、口座情報を自動取得できなかった事実は残る。SNSには、セキュリティへの不安や解約を検討する声も上がった。

　同社は5月20日、お詫びとしてマネーフォワード MEのプレミアム会員に購読期間の15日延長を発表した。対象は5月1～12日にプレミアムサービスを利用していた人だ。

　返金ではなく延長・クーポンという形をとったのには理由がある。同社は、安全のためのサービス停止は利用規約上のサービス品質保証（SLA）に抵触しないとの立場だ。それでも、家計の「見える化」という中核価値を一定期間提供できなかったとして、お詫びとして一律延長に踏み切ったという。

　もっとも、補償が失われた利便性を完全に埋めるわけではない。連携停止中の資産推移は自動では記録されず、残したい場合は利用者が手作業で補う必要がある。個人向けのマネーフォワード MEでは、銀行口座連携の代替機能はないと同社は説明する。法人向けの「マネーフォワード クラウド」では、CSVファイルのインポートやFBデータの利用が代替手段として案内された。

　事故は収束に向かいつつあるが、論点はなお残る。残る連携の完全復旧の時期は見通せず、流出した可能性のある個人情報の範囲も精査が続く。

　そして、より根本的な問いがある。利用者が利便性と引き換えに、認証情報や口座情報を第三者のサービスに預けるというモデルそのものへの信頼だ。

　マネーフォワードは、預けた情報だけでは口座のお金は動かせないという。GitHubの認証管理や監視体制の強化も進める。それでも、家計簿アプリが社会のインフラに近づくほど、一度の事故が及ぼす影響は広がる。安全性をどう示し続けるか。問われているのは復旧の速さよりも、その地道な証明の積み重ねだろう。

【追記：2026年6月2日午後11時35分　マネーフォワードから追加で得られたコメントを追記しました】