中国寧夏回族自治区のIT会社で、従業員がシステムの構成や社内の人員の情報を、海外のコード共有サイトの公開リポジトリに1年以上置いていた

この記事の内容

何が起きたか

この事故で流出した、または流出したおそれがある情報は、ネットワーク構成、セキュリティ対策、社内の人員の情報など。件数は公表されていないです。その後の対応と影響は、公安機関が会社と従業員の双方に行政処罰を科したです。

原因になったのは「従業員が保守中のシステム情報を海外のコード共有サイトの公開リポジトリに置いた」です。公表された内容では、生成AIは事故に関わっていません。

（確定）は当事者が発表した内容、（報道）は報道にもとづく内容、（不明）は公表されていない内容です。

公安部の発表では、従業員は2025年4月、システムの保守中にチームで共有しやすくするため、情報を個人の公開リポジトリに上げた。2026年7月に見つかるまで、約1年3か月公開されていた。会社がコード共有サイトの使い方をどう決めていたかは公表されていない。

原因の種類は「設定ミス」です。公開範囲やアクセスの設定を誤り、外から見える状態になった事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は13件あります。

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）
コード共有サイトに置いてよい情報と置いてはいけない情報を決め、会社のアカウントや組織名で公開リポジトリを定期的に検索していれば、早い段階で見つけられた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

上から順に、短い時間で確認できるものを並べています。

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

従業員が個人のアカウントで社内の情報を共有サイトに上げていないか、確かめたことがありますか？社名やシステム名で公開リポジトリを検索する作業を、定期的に行っていますか？共有サイトに置いてはいけない情報の種類を、社内のルールとして決めていますか？

結果はこの画面にだけ表示されます。入力した内容は送信されません。

2026.09.17記事を掲載