ソースコードも、企業のシステム構造や開発ノウハウが含まれる重要情報です。GitHubやGitLabの公開設定ミス、クラウドストレージの共有範囲、退職者や委託先による持ち出しなどをきっかけに、意図せず外部へ流出することがあります。

流出したソースコードにAPIキー、パスワード、アクセストークンなどが含まれている場合、不正アクセスにつながる可能性があります。公開範囲の変更や削除を急ぐだけでなく、アクセス履歴や操作ログを保全し、どの範囲に影響があるかを確認することが重要です。

そこで本記事では、ソースコード流出が疑われる場合に確認すべき経路、被害拡大を防ぐ初動対応、専門調査を検討すべき判断基準を解説します。

ソースコード流出はなぜ重大な問題になるのか

ソースコード流出は、単なるファイル漏えいではありません。システムの構造、認証処理、外部サービスとの接続情報、開発上の弱点が第三者に知られることで、後続の攻撃につながる可能性があります。

システム構造や脆弱性を第三者に知られるおそれがある

ソースコードには、アプリケーションの設計、認証処理、エラー処理、データベース接続の仕組みなどが含まれます。攻撃者がコードを入手すると、脆弱性を探しやすくなり、WebアプリケーションやAPIへの攻撃に悪用されることがあります。

APIキーや認証情報が含まれると不正アクセスにつながる

開発環境のコードや設定ファイルには、APIキー、パスワード、秘密鍵、アクセストークンが残っている場合があります。これらが流出すると、クラウド環境、外部API、データベース、CI/CD環境へ不正アクセスされる可能性があります。

ソースコードが流出しやすい経路

ソースコード流出は、外部攻撃だけでなく、公開設定ミスや関係者による持ち出しでも発生します。まずは、どの経路から流出した可能性があるかを整理することが重要です。

GitHub・GitLab・クラウドストレージの公開設定ミス

非公開にすべきリポジトリが公開状態になっていた、共有リンクを知っていれば閲覧できる設定になっていた、外部ユーザーに過剰な権限が付与されていた、といったケースがあります。

GitHub、GitLab、Google Drive、OneDrive、Dropboxなどを確認する際は、各サービスの公式管理者向け手順に従い、公開範囲、外部共有、アクセス履歴、権限変更履歴を確認してください。

退職者・委託先・開発端末からの持ち出し

退職者や委託先が、業務用リポジトリを個人アカウントへ複製したり、開発端末から外部ストレージへコピーしたりするケースがあります。USB接続履歴、クラウド同期履歴、Git操作履歴、メール送信履歴などを組み合わせて確認する必要があります。

退職者によるデータ持ち出しが発覚したら？企業が今すぐ取るべき調査・証拠保全・再発防止策

2024.3.11

退職者によるデータ持ち出しは、企業にとって重大な情報漏えいリスクです。顧客情報、営業資料、設計図、ソースコード、取引先リストなどが外部に流出すると、

ソースコード流出が疑われるときの初動対応

初動対応では、公開範囲の制限、認証情報の無効化、証拠保全を並行して進めます。原因が分からない段階でログを削除したり、端末を初期化したりすると、流出経路を追えなくなる可能性があります。

リポジトリの公開範囲とアクセス履歴を確認する

まず、対象リポジトリが公開状態になっていないか、外部ユーザーに権限が付与されていないかを確認します。アクセス履歴、クローン履歴、ダウンロード履歴、権限変更履歴、外部連携アプリの利用状況も確認してください。

APIキー・パスワード・トークンを無効化する

流出した可能性のあるコードに認証情報が含まれる場合は、該当するAPIキー、パスワード、アクセストークン、秘密鍵を無効化し、再発行します。認証情報の再発行後は、影響範囲の確認と不審な利用履歴の調査も必要です。

自社だけで判断せず外部の業者にソースコード流出調査を委託すべきケース

ソースコード流出では、公開設定ミス、内部不正、不正アクセスが複合している場合があります。ログだけでは判断できないときは、端末やクラウド、リポジトリの記録を保全したうえで専門調査を検討してください。

誰がいつ持ち出したかログだけで判断できない場合、操作履歴やクラウドログだけでは、誰が実際に取得したのか判断しきれない場合があります。共有アカウント、委託先アカウント、退職者アカウントが関係している場合は、PCログやメール履歴、クラウド同期履歴も確認対象になります。

この時調査前に端末初期化やアカウント削除を進めるのは避け、フォレンジック調査会社にリポジトリ、クラウド、開発端末、メール、VPN、ID管理システムのログを横断的に調査してもらいましょう。外部のフォレンジック調査会社では調査結果をレポート形式でまとめてもらえることがあるので、取引先や顧客への対応や社内の懲戒処分、警察への相談にも活用できるばあいがあります。

おすすめのフォレンジック調査会社

フォレンジック調査はまだまだ一般的に馴染みが薄く、どのような判断基準で依頼先を選定すればよいか分からない方も多いと思います。そこで、30社以上の会社から以下のポイントで厳選した編集部おすすめの調査会社を紹介します。

信頼できるフォレンジック調査会社を選ぶポイント

• 官公庁・捜査機関・大手法人の依頼実績がある
• 緊急時のスピード対応が可能
• セキュリティ体制が整っている
• 法的証拠となる調査報告書を発行できる
• データ復旧作業に対応している
• 費用形態が明確である

上記のポイントから厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

まとめ

ソースコード流出が疑われる場合は、まずリポジトリやクラウドストレージの公開範囲、アクセス履歴、外部共有、権限変更履歴を確認してください。APIキーやトークンなどの認証情報が含まれる場合は、速やかに無効化し、不審な利用履歴を確認する必要があります。

退職者、委託先、不正アクセスが関係する場合は、証拠保全を優先し、ログや端末を不用意に削除しないことが重要です。流出経路や影響範囲を正確に把握したい場合は、専門家による調査を検討してください。