CAMPFIREの情報漏えいの可能性｜225,846件氏名・住所・口座情報対象と確かめること 2026

2026年11月1日

＠SOHO編集部

この記事のポイント

✓CAMPFIREの情報漏洩について
✓2026年4月3日の第一報から6月2日の調査結果までを整理
✓GitHubの認証情報の流出を起点にした不正アクセスで

CAMPFIREの情報漏洩について、クラウドファンディングのサービスを運営する株式会社CAMPFIREは、2026年4月3日にシステム管理用のGitHubアカウントへの不正アクセスを公表し、4月24日に「お客様の個人情報が漏えいした可能性がある」と発表しました。対象はプロジェクトオーナー、コミュニティオーナー、支援者の一部、パートナーなどで、重複を除いた件数は225,846件です。項目は区分によって違い、氏名、住所、電話番号、メールアドレス、口座情報などです。クレジットカード情報は含まれていません。2026年11月1日時点では、6月2日に外部の専門機関によるフォレンジック調査の結果が公表されていて、個人情報を含むデータファイルが外部へ送られた痕跡は確認されなかった一方、一部にログが残っていない領域があるため、閲覧された可能性は否定できないとされています。補償についての記載はありません。対象かもしれない人がまずすることは、件名「【重要：CAMPFIRE】お客様情報漏えい可能性に関するお詫びとご報告」のメールが届いていないかを確かめること、CAMPFIREを名乗る連絡で暗証番号やパスワードを聞かれても答えないこと、口座の明細に身に覚えのない動きがないかを見ることの3つです。

この記事は、2026年11月1日時点で株式会社CAMPFIREのコーポレートサイトのお知らせ（4月3日の第一報から6月2日の調査結果まで）と、影響が及んだ日本サッカー協会（JFA）と横浜DeNAベイスターズの公式のお知らせを開き直して確かめた内容だけで書いています。報道の数字や推測は入れていません。

CAMPFIREの情報漏洩で何が起きたのか

CAMPFIREは、作り手や団体が計画（プロジェクト）を公開し、賛同した人から支援を集めるクラウドファンディングのサービスです。プロジェクトを立てる人を「プロジェクトオーナー」、お金を出して応援する人を「支援者」と呼びます。

今回の件は、CAMPFIREがシステムの管理に使っていたGitHubのアカウントへの不正アクセスから始まりました。GitHubとは、プログラムのソースコード（ソフトウェアの設計図にあたる文字の集まり）を保管し、チームで共有するためのサービスのことです。そこから攻撃者がCAMPFIREの社内業務用のクラウド環境に入り込み、顧客情報を管理するシステムの一部にもアクセスした、というのがCAMPFIREの説明です。

6月2日の調査結果で示された骨子は次のとおりです。

従業員が発行したGitHubの認証情報が、従業員が個人の開発で使っていたサーバーに意図せずアップロードされ、第三者に不正に使われた
攻撃者はGitHubで閲覧できた情報をもとに、社内業務用のクラウド環境の認証情報を探して取得し、その一部の管理領域に不正にアクセスした
漏えいのおそれがある情報の対象は、重複を除いて225,846件
個人情報を含むデータファイルが外部へ転送された痕跡は確認されなかった
一部にログが取得されていない領域があり、閲覧された可能性を否定するには至らない
CAMPFIREのサービスは別の環境で運用していて、サービスの基盤への不正利用や改ざんは確認されていない

CAMPFIREは、発表の題で「個人情報漏えいの可能性」、調査結果で「漏えいのおそれがある情報」という言い方をしています。漏えいしたと確定したわけではなく、その可能性があるという段階です。この記事でも、その言い方のまま書きます。

公表の経緯：4月3日の第一報から6月2日の調査結果まで

CAMPFIREは、この件で6回お知らせを出しています。日付の順に整理します。

日付	お知らせ	分かったこと
2026年4月3日	第一報	4月2日22時50分ごろ、システム管理用のGitHubアカウントに第三者による不正なアクセスがあり、一部のソースコードが閲覧された可能性があると判明。この時点では個人情報や機密情報の流出は確認されていない
2026年4月14日	第二報	GitHubアカウントから、一部の個人情報が閲覧できる状態だったと確認。取引先1先の氏名と連絡先、開発業務の従事者413名の氏名とメールアドレス
2026年4月22日	第三報	顧客情報を管理するシステムの一部に、外部からの不正なアクセスの痕跡を確認
2026年4月24日	第四報	顧客情報を管理するシステムの一部で、お客様の個人情報が漏えいした可能性があると判明。対象は重複を除いて225,846件。対象者に個別のメールを送り始める
2026年4月27日	第五報	漏えいの可能性がある範囲の詳細を公表。対象と件数（225,846件）に変更はない
2026年4月28日	窓口開設	個人情報の専用の問い合わせ窓口を開設
2026年6月2日	調査結果	外部の専門機関によるフォレンジック調査（5月30日に完了）を踏まえ、原因と対象、再発防止策を報告

6月2日の調査結果には、さらに細かい時系列も載っています。4月3日の未明にGitHubの一部の保管場所（リポジトリ）で不審な操作を検知して調査を始めたこと、4月7日にGitHubの認証情報が漏えいした原因を特定したこと、4月20日に社内業務用のクラウド環境での不正アクセスを検知し、不正に使われたアカウントとクラウドの資源を止めて無効にしたこと、4月21日に外部の専門機関へ支援を頼んだこと、などです。

第一報の時点では、個人情報の流出は確認されていないとされていました。その後の調査でクラウド環境への不正アクセスが見つかり、対象が大きく広がったという流れです。最初のお知らせだけを見て「個人情報は関係ない」と受け取った人は、4月24日以降のお知らせも確かめる必要があります。2026年11月1日時点で、CAMPFIREのコーポレートサイトのお知らせの一覧を見ると、6月2日の調査結果より新しい続報は見当たりません。

2026年4月3日以降にお知らせしております「GitHubアカウントへの不正アクセス発生に関するお知らせとお詫び」に関連し、その後の詳細調査の結果、顧客情報を管理するシステムの一部において、お客様の個人情報が漏えいした可能性があることが判明いたしました。現在、当該システムにおける情報の安全確保のための措置を完了しております。出典: 株式会社CAMPFIRE「【重要】弊社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとご報告」

漏えいのおそれがある情報と、対象になる人

6月2日の調査結果に載っている最新の内訳を並べます。4月24日の第四報から4月27日の第五報で対象の範囲が細かく示され、6月2日に集計の精査で一部の内訳が変わっています。重複を除いた件数（225,846件）は変わっていません。

対象	含まれる項目	件数
2026年4月9日までにCAMPFIREを使ったプロジェクトオーナー、コミュニティオーナーの一部	氏名、住所、電話番号、メールアドレス、口座情報	108,784件（うち口座情報を含むもの53,869件、含まないもの54,915件）
支援者のうち、下の3つのいずれかに当てはまる人	氏名、住所、電話番号、メールアドレス、口座情報	118,010件（うち口座情報を含むもの4,307件、含まないもの113,703件）
パートナーのうち、2025年3月5日までにCAMPFIREに登録した人	氏名	1,282件
上のどれに当たるか分からない人（会員登録の段階など）のうち、2020年1月1日から12月31日までにマイページの口座情報を編集した人	口座情報	10,521件
合計（重複を除く）		225,846件

支援者の3つの条件は次のとおりです。

2021年1月1日から2026年4月19日までに、PayPalで支払った人
2022年1月3日から2023年4月24日までに、こんど払いを使った人
2022年1月6日から2026年3月5日までに、CAMPFIREから口座への送金で返金を受け取った人

この条件から分かるのは、支援者の全員が対象ではないことです。クレジットカードで支払っただけの支援者や、上の期間外の支援者は、この表の対象には入っていません。

含まれていないと明記されているものも分けておきます。

区分	発表での扱い
クレジットカード情報	含まれていない
CAMPFIREのサービスの基盤	不正アクセスがあった環境とは別で運用。不正利用や改ざんは確認されていない

このほか、6月2日の調査結果では、CAMPFIREの開発業務の従事者（退職者を含む従業員と業務委託先）の氏名とメールアドレス413件が、閲覧できる状態だった情報として確認されています。これは4月14日の第二報で公表されたもので、利用者の225,846件とは別の数です。

原因：従業員の個人の開発サーバーにアップロードされた認証情報

原因について、6月2日の調査結果はかなり具体的に書いています。

CAMPFIREの従業員が発行したGitHubの認証情報が、その従業員が個人の開発で使っていたサーバーの上に、意図せずアップロードされていた
その認証情報が第三者に見つかり、不正に使われた
攻撃者は、GitHubで閲覧できるようになった情報をもとに、CAMPFIREが社内業務で使う特定のクラウド環境に関係する認証情報を探し、取得した
その認証情報で、クラウド環境の一部の管理領域に不正にアクセスした

認証情報とは、システムに「この人は本人です」と示すための合言葉のようなものです。IDとパスワードのほか、プログラムが別のサービスを呼び出すときに使う「アクセストークン」や「APIキー」と呼ばれる長い文字列も含まれます。こうした文字列は、人がログインするときのように毎回入力しないため、設定ファイルの中に書いたまま、どこかに紛れ込んでしまうことがあります。

CAMPFIREは、本来この認証情報は自社の管理下の環境でだけ扱い、権限も必要最小限に限るべきだったとしています。そのうえで、認証情報の管理と権限の設計に関する仕組みと運用の決まりが十分でなかった点を重く受け止めていると書いています。

フォレンジック調査とは、システムに残った記録（ログ）を専門家が調べ、何が起きたかを確かめる調査のことです。今回の調査結果では、次のことが分かったとされています。

特定のクラウド環境に保管されていた認証情報とAPIキー、個人情報を含まない一部のデータファイル、そのクラウド環境の表の名前や構成の情報が、攻撃者に取得された
攻撃者が探る過程で、個人情報を含む1件のデータが、検索の結果として表示された
個人情報を含むデータファイルが外部へ転送されたことを示す痕跡は確認されず、攻撃は各種の認証情報の取得を目的とするものだったという見解

一方でCAMPFIREは、一部にログが取得されておらず、操作の中身を直接確かめられない領域が残っているため、対象の情報が閲覧された可能性を否定するには至らないと判断しています。225,846件が「漏えいのおそれ」として扱われているのは、このためです。

CAMPFIREの対応：個別のメールと専用窓口

CAMPFIREの発表に書かれている対応を、利用者に関係するものに絞って整理します。

対応	発表の内容
個別の連絡	4月24日から、対象の人の登録メールアドレスに個別のメールを送付
メールの件名	「【重要：CAMPFIRE】お客様情報漏えい可能性に関するお詫びとご報告」
専用窓口	4月28日に、個人情報の専用の問い合わせ窓口を開設
関係機関	個人情報保護委員会への報告（4月14日、4月24日に続報）、警察への相談
安全措置	認証情報の無効化と再発行、権限を絞った認証方式への移行、監視の強化など。6月2日時点で完了と報告
二次被害	4月24日時点で、不正利用による被害の報告はない

個別のメールには「お問い合わせ番号」が書かれていて、窓口に問い合わせるときに伝えると案内が円滑になるとされています。お詫びの品や金銭の補償については、6回のお知らせのどれにも記載がありません。補償の考え方はほかの会社の例を含めて、情報漏洩の補償はもらえるのか｜お詫び金・ポイントの例と利用者が確かめること 2026にまとめています。

再発防止策として、CAMPFIREは6月2日の時点で、認証と権限の管理の強化、ログの監視と見える化の強化、警告と検知の体制の強化、ソースコードのセキュリティの強化を済ませたとしています。さらに、秘密情報の管理、権限と認証の見直し、重要な情報の保管場所の監査、検知と防御の自動化、開発環境の防護、コードの弱いところの早期の検知という6つの領域で、3か月をかけて管理策を整えるとしています。

JFAと横浜DeNAベイスターズのクラウドファンディングへの波及

CAMPFIREを使ってクラウドファンディングを行っていた団体も、支援者に向けてお知らせを出しています。公式のお知らせで確かめられた範囲を整理します。

日本サッカー協会（JFA）

公益財団法人日本サッカー協会（JFA）は、2026年4月25日に「JFAクラウドファンディング個人情報漏えいの可能性に関するお詫びとお知らせ」を公表しました。JFAクラウドファンディングで使っていたサービス「CAMPFIRE」の運営会社のシステムが不正アクセスを受け、登録しているユーザーの個人情報が外部に漏えいした可能性があることが、同社から公表されたとして、JFAのプロジェクトを支援した人にお詫びしています。

JFAのお知らせは、CAMPFIREの対応の詳細はCAMPFIREのプレスリリースで確かめるよう案内し、4月28日に窓口の開設を追記しています。6月12日には、CAMPFIREの6月2日の調査結果を踏まえて、6月11日からJFAクラウドファンディングでのJFA主催の案件の募集を再開したと追記しています。JFAのお知らせには、JFAの支援者のうち何人が対象かの件数は書かれていません。対象かどうかは、CAMPFIREからの個別のメールで確かめることになります。お知らせはJFAの公式サイトで読めます。

横浜DeNAベイスターズ

株式会社横浜DeNAベイスターズは、2026年5月22日に「【重要】弊社が利用する外部サービスへの不正アクセスによる個人情報漏洩の可能性に関する注意喚起のお知らせ」を公表しました。業務で使っていたCAMPFIREの運営会社から、利用者の個人情報が漏洩した可能性があると報告を受け、球団がCAMPFIREで行ったプロジェクトに賛同した人の情報が含まれている可能性があると確認したという内容です。

対象になる可能性があるのは、「【ファンと共に作る】横浜DeNAベイスターズ日本一優勝パレード2024」の支援者のうち、CAMPFIREの支援者の3つの条件（PayPalでの支払い、こんど払いの利用、口座への送金での返金）のいずれかに当てはまる人です。項目は、氏名、住所、電話番号、メールアドレス、口座情報とされ、クレジットカード等の決済情報はそのサーバーに保存されていないとされています。こちらも件数は書かれていません。お知らせは横浜DeNAベイスターズの公式サイトで読めます。

この2つのほかにも、CAMPFIREでプロジェクトを行った団体が、支援者に向けて知らせている場合があります。対象かどうかを決めるのは、どのプロジェクトを支援したかではなく、上の支援者の3つの条件に当てはまるかどうかです。団体のお知らせが見当たらなくても、条件に当てはまるなら、CAMPFIREからのメールを確かめてください。

自分が対象かを確かめる方法

CAMPFIREは、対象の人の登録メールアドレスに個別のメールを送っています。まず確かめたいのは、次の件名のメールが届いていないかです。

「【重要：CAMPFIRE】お客様情報漏えい可能性に関するお詫びとご報告」

メールは4月24日から順に送られています。迷惑メールのフォルダに振り分けられていることもあるので、そちらも見てください。メールが見当たらないときは、区分ごとに心当たりを確かめます。

区分	心当たりの確かめ方
プロジェクトオーナー、コミュニティオーナー	2026年4月9日までにCAMPFIREでプロジェクトやコミュニティを作ったことがあるか
支援者	PayPalでの支払い（2021年1月1日から2026年4月19日）、こんど払いの利用（2022年1月3日から2023年4月24日）、口座への送金での返金（2022年1月6日から2026年3月5日）のいずれかがあるか
パートナー	2025年3月5日までにCAMPFIREにパートナーとして登録したか
どれか分からない人	2020年中に、マイページで口座情報を編集したか

支援者の場合、PayPalで支払ったかどうかは、PayPalの取引の履歴や、支援したときの確認のメールで確かめられます。返金を口座で受け取ったかどうかは、プロジェクトが成立しなかったときの返金の連絡や、通帳の記録が手がかりになります。

注意したいのは、CAMPFIREを名乗る偽のメールです。本物のメールと同じ件名を使った偽物が届く可能性もあります。メールの中のリンクから口座情報やパスワードを入力させる流れには乗らず、確かめたいときはCAMPFIREの公式サイトから問い合わせ先を開いてください。

利用者がすること：漏れた項目に合わせて

漏えいのおそれがある項目には、クレジットカード情報は含まれていません。気をつけたいのは、名前、住所、電話番号、メールアドレス、口座情報を使った「それらしい連絡」です。CAMPFIREも4月24日の発表で、二次被害を防ぐための注意を具体的に挙げています。その内容に沿って整理します。

不審な連絡に答えない

CAMPFIREを装い、暗証番号やパスワードを聞き出そうとする詐欺に注意してください。CAMPFIREは、電話やメールで暗証番号を尋ねることは一切ないとしています。プロジェクトオーナーであれば「プロジェクトの支援金の振込先を確認したい」、支援者であれば「返金の手続きのために口座を」といった、クラウドファンディングらしい理由をつけた連絡も考えられます。

メールのリンクと添付ファイルを開かない

心当たりのない不審なメールは開かず、リンクを押したり添付ファイルを開いたりせずに削除するよう、CAMPFIREは呼びかけています。偽のメールの見分け方は、フィッシング詐欺メールの見分け方｜5秒で振り分ける手順と開いた後の対処にまとめています。

郵便物に気をつける

住所が含まれているため、郵便物を代金引換で送りつけるなどの詐欺にも注意が要ります。受け取る前に、差出人と中身に心当たりがあるかを確かめてください。住所が知られたときの対処は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番に整理しています。

口座の明細を確かめる

CAMPFIREは、流出した可能性のある銀行口座の情報だけで、口座から直接お金を引き出したり振り込んだりすることはできないとしています。そのうえで、取引の明細に身に覚えのない記録があれば、すぐに金融機関かCAMPFIREの窓口に相談するよう呼びかけています。

パスワードを見直す

漏えいのおそれがある項目にパスワードは含まれていませんが、CAMPFIREは念のため、ほかのサービスで同じメールアドレスとパスワードを使っている場合は変えるよう勧めています。変える順番は、パスワードが漏洩したらどうなる｜変更の順番と使い回しの見直し方 2026を参考にしてください。

困ったときの相談先

この件に便乗した詐欺など、具体的なトラブルになったり、その心配が出たりしたときは、CAMPFIREの窓口のほか、警察の相談専用電話（#9110）か最寄りの警察署に相談するよう案内されています。

問い合わせ窓口

CAMPFIREの発表に載っている窓口は次のとおりです。

窓口	連絡先	受付
CAMPFIRE 個人情報お問い合わせ専用窓口	電話 0120-188-070（通話料無料）	10時から19時。2026年4月28日に開設
株式会社CAMPFIRE お問い合わせ窓口（法務コンプライアンス室）	CAMPFIREのサービスサイトのお問い合わせのページ	ウェブで受付

専用窓口の受付日について、4月28日のお知らせには、2026年6月で土曜日・日曜日・祝日の受付を終え、7月以降は平日だけの対応にすると追記されています。一方、6月2日の調査結果には「土日祝日を含む」と書かれたままです。2026年11月1日時点で電話をかける場合は、平日にかけるのが確実です。個別のメールを受け取った人は、メールに書かれた「お問い合わせ番号」を手元に用意してください。

問い合わせで確かめておきたいのは、自分がどの区分の対象か、口座情報が含まれていたか、登録しているメールアドレスがいまも正しいか、の3点です。口座情報が含まれていたかどうかで、その後に気をつける範囲が変わります。聞いた内容は、日付と一緒に控えておくと、あとで別の連絡が来たときに本物かどうかを比べやすくなります。

在宅で仕事をする人が気をつけたいこと

CAMPFIREのプロジェクトオーナーには、作家、デザイナー、音楽家など、在宅で仕事をしている個人も多いはずです。在宅で仕事をする人がこの件で考えておきたいことを、3つの立場から整理します。

プロジェクトオーナーとして

プロジェクトオーナーの区分では、口座情報を含むものが53,869件あります。支援金を受け取る口座は、仕事の報酬を受け取る口座と同じことも多いでしょう。名前、住所、電話番号、口座の組み合わせを知る相手から「支援金の入金に不備がありました」と連絡が来ると、本物らしく見えます。支援金や手数料の話であっても、CAMPFIREの管理画面やサービスサイトの公式の連絡で確かめてから動いてください。

また、プロジェクトの支援者に向けて、この件をどう伝えるかも考えておきたい点です。支援者の情報を持っているのはCAMPFIREで、オーナーの手元にはないことが多いはずですが、支援者から問い合わせを受けることはありえます。JFAや横浜DeNAベイスターズのように、CAMPFIREのお知らせと窓口を案内する形が、誤った情報を広げずに済む方法です。

開発の仕事をする人として

この件の起点は、従業員が個人の開発で使っていたサーバーに、仕事のGitHubの認証情報が紛れ込んでいたことでした。在宅で開発の仕事を受ける人にとって、他人事ではありません。

取引先から預かったアクセストークンやAPIキーを、個人の開発環境や個人のリポジトリに入れない
設定ファイルに認証情報を書くときは、公開される場所にアップロードされない仕組み（除外の設定など）を使う
使い終わったトークンは、取引先に伝えて無効にしてもらう
トークンの権限は、作業に必要な範囲だけにしてもらう

取引先のシステムに関わる仕事では、自分の不注意が取引先の利用者の情報に直結します。CAMPFIREが再発防止策として「個人用アクセストークンへの依存を見直し、権限を限定した認証方式へ移行した」と書いていることは、受ける側にとっても参考になります。

取引先の情報を預かる立場として

個人情報保護委員会は、個人データの漏えい等が起きたときに、事業者が委員会に報告し、本人に通知しなければならない場合を示しています。たとえば、不正の目的で行われたおそれのある行為による漏えい等（不正アクセスなど）や、財産的な被害が生じるおそれのある漏えい等、本人の数が1,000人を超える漏えい等が挙げられています。個人で仕事をする人も、扱う情報によっては報告の対象になりうるので、委員会の漏えい等の対応とお役立ち資料に一度目を通しておくと、いざというときに慌てずに済みます。

在宅で仕事を受ける人がアカウントを守る基本は、パスワードの使い回しをやめることと、二段階認証を設定することです。仕事を探すサイトや、受発注のやり取りに使うサイトでも同じです。@SOHOのAI・マーケティング・セキュリティのお仕事では、在宅で受けられるセキュリティ関連の仕事の種類と探し方を紹介しています。

CAMPFIREを使い続けるときに確かめること

CAMPFIREは、サービスの基盤は不正アクセスがあった環境とは別で運用していて、不正利用や改ざんは確認されていないとしています。JFAは6月11日から、JFAクラウドファンディングでのJFA主催の案件の募集を再開しています。これからもCAMPFIREでプロジェクトを立てたり支援したりする人が、この機会に確かめておきたいことを挙げます。

ログインのパスワードを、ほかのサービスと別のものにしているか
登録しているメールアドレスと電話番号が、いまも使っているものか（古いままだと、個別の連絡が届かない）
支援金や返金を受け取る口座の情報が、いまの口座と合っているか
マイページの支援の履歴に、身に覚えのないものがないか
CAMPFIREから届くメールを、リンクではなくブックマークやアプリから開いて確かめる習慣にしているか

プロジェクトオーナーは、支援者とのやり取りの中で、支援者から住所や連絡先を受け取ることもあります。リターン（お礼の品）の発送のために受け取った名簿を、発送が終わったあとも手元のパソコンに残していないかを確かめてください。今回の件と同じく、残っている情報が少ないほど、どこかで漏えいが起きたときの影響は小さくなります。

支援者が気づきにくい点：支払った方法で対象が決まる

この件で分かりにくいのは、支援者の対象が「どのプロジェクトを支援したか」ではなく「どの方法で支払ったか、返金をどう受け取ったか」で決まっていることです。

たとえば、横浜DeNAベイスターズの優勝パレードのプロジェクトを支援した人でも、クレジットカードで支払っただけなら、球団のお知らせが示す条件には当てはまりません。反対に、球団のプロジェクトとは関係なく、別の小さなプロジェクトにPayPalで支払った人は、支援者の区分の対象になりえます。

また、プロジェクトが目標額に届かずに成立しなかった場合、支援金は支援者に返されます。そのときに口座への送金で返金を受け取った人は、支援者の3つ目の条件に当てはまる可能性があります。支援したことすら忘れていても、返金を受けた記録が対象の目印になることがあります。

心当たりの確かめ方の表をもう一度見て、支払いの方法と返金の受け取り方を思い出してください。分からない場合は、CAMPFIREのマイページで支援の履歴を確かめるか、専用窓口に問い合わせるのが確実です。

発表を読むときに知っておきたい言葉

CAMPFIREの発表には、技術の言葉がいくつも出てきます。利用者が読むときに迷いやすいものを整理します。

言葉	意味
GitHub	プログラムのソースコードを保管し、チームで共有するためのサービス
リポジトリ	GitHubの中で、一つのソフトウェアのソースコードをまとめて保管する場所
認証情報	システムに本人であることを示すための情報。IDとパスワードのほか、アクセストークンやAPIキーなど
クラウド環境	インターネット越しに借りて使うサーバーや保存場所
フォレンジック調査	システムに残った記録を専門家が調べ、何が起きたかを確かめる調査
ユニーク件数	同じ人を重ねて数えないようにした件数。今回は225,846件
漏えいのおそれ、可能性	外に出たかどうかは確かめられていないが、出たことを否定できない状態

区分ごとの件数（108,784件、118,010件、1,282件、10,521件）を足すと、225,846件より多くなります。これは、同じ人がプロジェクトオーナーと支援者の両方に当てはまる場合などがあるためで、重複を除いた実際の対象の数が225,846件です。

公開前に見直したい点と、今後の続報

2026年11月1日時点で、CAMPFIREは6月2日の調査結果を最新の報告としています。今後、開示すべき新しい事実が見つかった場合は速やかに開示するとしていて、3か月をかけて再発防止の管理策を整えるとしていた期間は、すでに過ぎています。管理策の整備の結果について、新しい発表が出る可能性があります。

この記事の内容は、4月3日から6月2日までのCAMPFIREのお知らせと、JFAと横浜DeNAベイスターズのお知らせに基づくものです。窓口の受付日や内訳は変わる可能性があります。最新の内容は、CAMPFIREのコーポレートサイトの不正アクセス事案にかかる調査結果についてと、お知らせの一覧で確かめてください。

よくある質問

Q. CAMPFIREの情報漏えいでクレジットカード情報は漏れましたか？

CAMPFIREの発表では、漏えいのおそれがある情報にクレジットカード情報は含まれていないとされています。対象の項目は区分によって違い、氏名、住所、電話番号、メールアドレス、口座情報などです。カードを止める必要は発表からは読み取れませんが、CAMPFIREを名乗る連絡でカード番号や暗証番号を聞かれても答えないでください。

Q. CAMPFIREで支援した人は全員が対象ですか？

全員ではありません。支援者で対象になるのは、2021年1月1日から2026年4月19日までにPayPalで支払った人、2022年1月3日から2023年4月24日までにこんど払いを使った人、2022年1月6日から2026年3月5日までに口座への送金で返金を受け取った人です。クレジットカードで支払っただけの人は、支援者の区分の対象に入っていません。

Q. CAMPFIREの情報漏えいの対象かどうかはどう分かりますか？

CAMPFIREは2026年4月24日から、対象の人の登録メールアドレスに「【重要：CAMPFIRE】お客様情報漏えい可能性に関するお詫びとご報告」という件名のメールを送っています。迷惑メールのフォルダも含めて確かめてください。見当たらないのに心当たりがある場合は、個人情報の専用の問い合わせ窓口に電話で確かめるのが確実です。