メルカリ：開発ツール「Codecov」の改ざんで認証情報を盗まれ、ソースコードの一部と顧客、取引先、従業員の情報2万7927件が流出

1. 2021-01-31

   コードカバレッジツール「Codecov」のスクリプトが、この日から第三者に定期的に書き換えられた。 [1]

2. 2021-04-13

   この日から4月18日にかけて、盗まれた認証情報を使ったGitHubへの不正アクセスが集中した。それ以前にも、1月31日以降に数回あった。 [1]

3. 2021-04-15

   Codecovの運営会社が、不正アクセスを公表した。 [1]

4. 2021-04-16

   メルカリが、CI環境の認証情報の無効化と交換を始めた。 [1]

5. 2021-04-23

   GitHubから、ソースコードの一部が影響を受けた可能性があると知らされ、調査してソースコードへの不正アクセスが分かった。対策本部を作り、当局に報告した。 [1] [2]

6. 2021-04-27

   不正アクセスされたソースコードに、顧客情報があったと分かった。外部からの不正アクセスの試みが続いていたため、すぐには公表せず、対策を先に進めた。 [1] [2]

7. 2021-05-21

   一次調査を終え、公表した。 [1] [2] [3]

8. 2021-07-14

   Mobility Technologiesが、Codecovへの不正アクセスの影響を公表した。取引先の従業員757人の氏名とメールアドレス、取引先と自社の従業員86人の氏名と電話番号が流出した。 [6]

9. 2021-08-06

   外部の専門会社による調査を終え、追加で38件の流出が分かったと公表した。 [5]

Codecovの「Bash uploader」スクリプトが書き換えられ、使う側のCI環境から、認証情報、トークン、コードなどが攻撃者の指定する先へ送られるおそれがあった。メルカリは開発環境にこのツールを入れていたため、認証情報を盗まれ、GitHubに置いていたソースコードに入られた。 [1] [3] [4]

同社はGitHubに個人情報や認証情報を置かない決まりだったが、ソースコードの中にそれらがあった。 [1]

• 顧客：2013年8月5日から2014年1月20日の売上金の振込に関する銀行コード、支店コード、口座番号、口座名義人（カナ）、振込金額が1万7085件。 [1]
• 顧客：2015年11月から2018年1月のカスタマーサービス対応で、氏名、住所、メールアドレス、電話番号、問い合わせ内容が217件。2013年5月のイベントで、氏名、年齢、性別、メールアドレスが6件。 [1]
• 取引先：「メルペイ」加盟店の個人事業主名が7925件、取引先の氏名、生年月日、所属、メールアドレスなどが41件。 [1]
• 従業員：子会社や過去の在籍者、一部の外部委託先を含む氏名、会社のメールアドレス、従業員ID、電話番号、生年月日などが2615件。 [1]

5月21日の公表時の合計は2万7889件。8月6日の調査結果で、顧客13件（2015年12月から2019年2月のカスタマーサービス対応の氏名、住所、生年月日、取引メッセージ）と従業員25件が加わり、合計は2万7927件になった。稼働中のサービスへの不正アクセスや、流出した情報が悪用された被害は確認されていない。 [1] [2] [5]