メルカリの歴史

2013年7月2日に、CtoC取引が行えるAndroidアプリ「メルカリ」をリリース。初日の売上品数は16品、流通総額は2万円だった。また、同月内にiPhone向けアプリも展開し、メルカリの事業展開を開始した。

当時、PCではYahoo JAPANが展開する「ヤフオク」、スマホではフリル（Fablic社・創業者は堀井翔太氏）が中古取引のプラットフォームを運営しており、メルカリは中古取引業界では後発参入となった。また、LINE、ヤフー、楽天といった大企業もフリマアプリに参入するなど、この事業領域では激戦が繰り広げられつつあった。

競合各社がひしめく中で、メルカリはプロダクト開発が優位性を作り上げるキーファクターと判断。そこでエンジニアの採用を重視し、プロダクトを磨き続ける体制づくりに注力した。なお、メルカリの会社設立の段階では、創業者の山田進太郎氏がエンジニアの採用を率先し、何ヶ月も口説いて優秀なエンジニアを採用するなど、開発リソースの確保に注力したという。

この結果、フリマアプリとして「メルカリ」を2013年7月にリリースした。iOSとAndroidの２つのみで、webブラウザはしばらく開発せずアプリに集中した。リリース時のサーバーサイド言語はphp。クラウドが普及してなかったためオンプレ（さくらインターネット）のサーバーで稼働する構成だった。

2016年にメルカリは、株式上場を見据えて大規模な資金調達をエクイティ及びデッドの２つから実施した。

まずは、2016年3月に三井物産などから83.5億円のエクイティにより資金調達を実施。この時の評価額は1226億円と推定されており、日本国内で非上場企業ながらも時価総額1000億円を超えるユニコーン企業が誕生したことで話題になった。

つづいて、2016年8月には、営業キャッシュフローが安定してきたことから、銀行からの借入による資金調達を実施した。三井住友銀行などのメガバンクを中心に55億円の借入金による資金調達を実施し、2016年を通じてメルカリは「資本・借入」の両面から累計138億円の資金調達を実施した。

これらの資金を全て投資にまわし、2017年6月期のメルカリにおける年間広告宣伝費は141億円になるなど、フリマアプリとしての認知度を高めるための積極的な投資を継続した。

開発基盤におけるCDN（Fastlyと推定）切り替え作業中に「Cache-Control: private」の削除漏れで、異なるアクセスに対して個人情報が全世界に配置されるCDNにキャッシュされる問題が発生。影響範囲はwebブラウザ版のメルカリで、「マイページをクリックしたら他人のアカウントのページが表示された」という問い合わせにより発覚。459名の「名前・住所・メールアドレス・電話番号」等が流出した疑い。クレジットカード情報は下4桁の番号流出あり。なお、推察だが、恒久的な対応策は、個人情報ページにおけるCDNの利用停止と思われる

メルカリは出品者の売上金の保持期間を1年から90日に短縮。理由は、仮にメルカリの事業が資金決済法によって規定される資金移動業者に該当すると判断された場合、資産保全義務が必要となるためであった。これはメルカリが倒産した場合に、従前に資金決済法が適用されていれば、供託先で利用者の資産（売上金）を保全できることを意味する。

しかし、メルカリにとって保全義務の遂行にはコストがかかるため資金移動業者の規制を避けたと推定される。具体的な妥結策として売上金の保持期限を90日に設定したと見るとが妥当だろう。

2017年11月にメルカリは金融庁に対して「第三者型前払式支払手段発行者登録」を行っており、（従来は軽視していたと思われる）資金決済法への対応を急いだ。

なお、完全子会社メルペイ設立の動きも資金移動業と関連しており、メルカリではなくメルペイを「第二種資金移動業者」として登録することで、金融事業を別会社として行うことで対処する道を選択した。当時のメルカリは上場審査のタイミングにあたり、これらの規制対応によって本来予定していた2017年内の上場計画が遅れた可能性もある。

メルカリは世界展開にあたって、コードを疎結合にするためにNetflixの事例を参考にマイクロサービスアーキテクチャの採用を決定し、モノシリックなアーキテクチャからの脱却を目指した。同時にサーバーサイドの言語をPHPから、静的型付けのGo言語に移行し、サーバーはSakuraからGCPに乗り換え、Routingと認証ではAPIGatewayを新たに導入することで、モダンな技術スタックに切り替えた。

着手の手順としては、まず最初にメルカリUSにおけるマイクロサービス化を実施し、つづいて国内のメルカリについては検索機能などの一部をマイクロサービスに切り出し、徐々にアーキテクチャを移行させていった。ただし、2022年の現時点でもメルカリではモノシリックなアーキテクチャでphpのコードが稼働しており、完全なリプレイスを達成したわけではない。

アーキテクチャの刷新の背景には、メルカリの開発体制の大型化に伴う、エンジニア組織の再編を行うという狙いがあった。数百人のエンジニアが「メルカリ」という１つのプロダクトないし、派生するプロダクトに関わることが予想される中で、コードの複雑化は不可避になりつつあった。

そこで、エンジニア採用におけるアトラクト、グローバル展開を見据えた疎結合なアーキテクチャを実現するための手段として、マイクロサービスを導入したと推察される。

メルカリのマクロサービス化によって、国内のwebエンジニアの間ではマイクロサービス化が議題に挙げられることが多くなり、web企業における技術選定に大きな影響を与えた。

2018年末にソフトバンクグループのPayPayがスマホ決済領域に参入し、100億円の還元キャンペーンなど、莫大な販促費を投資した。

そこで、2019年1月にメルカリは全社的な事業構造の変革を実施して決済領域への集中投資を決定した。2019年1月から全社戦略における最重要事項として「メルペイ」の急速な立ち上げを実施する。

このため、2018年2月に開始したシェアサイクル事業「メルチャリ」に関して、フリマおよび決済との関連が薄いと判断し、2019年に事業売却による撤退を決めた。売却先はクララオンライン（家本賢太郎・代表取締役）であり、同社では2022年の時点でもシェアサイクル事業を「チャリチャリ」として継続している。

メルカリにおけるシェアサイクルを含めた新事業は子会社の「ソウゾウ」を通じて運営されており、2018年6月期における同子会社の業績は売上高4.5億円に対して、営業損失16.8億円であった。

開発のCI環境におけるテストコードのカバレッジを計測する外部ツール「Codecov」の脆弱性が発覚。CIを通じてGitHubの認証トークンが露呈し、プログラムにハードコードされた一部の個人情報が流出した。本来はCodecovの脆弱性問題だが、今回の場合、メルカリはDBに保持すべき個人情報を、プログラムにハードコードし、GitHubのcommitログとして残してしまった点が大きな問題であった。

不正アクセスの実際の手口はシンプルである。悪意のある第三者がCodecov経由でGitHubの認証状態を取得し、メルカリ社内のオーガニゼーションのGitHubに侵入することで不正アクセスが発生。GitHubにpushされたコードのうち、個人情報がハードコードされた（DBに格納されずにプログラムに記載された）情報について、情報流出が発生したと推察される。また、メルカリの運用中のコードの閲覧も可能な状況だったと推定される。攻撃実施期間は、2021年1月〜4月にかけて。

主な流出情報は、2013年8月5日〜2014年1月20日に実行された個人の銀行口座情報（1.7万件）や、メルカリ及び子会社の社員の氏名・電話番号など。

恒久的な対処策は、Codecovの利用停止（カバレッジツールなので停止しても支障はきたさない）およびGitHubにおける個人情報を含むcommitの削除（GitHubに連絡の上実施）と推定される。

Capital Research and Management Companyはメルカリの株式2.38%を売却したことを公表。同ファンドにおけるメリカリの株式保有比率は、2020年9月に5.02%（取得後比率）、2020年11月に6.21%（取得後比率）、2022年4月に3.83%（売却比率）と推移。同ファンドは長期保有を志向しており、メルカリの株式売却は注目に値する

メルカリの大株主であるLuxor Capital Group LP（Douglas Friedman・Partner）は、山田進太郎氏とオンラインで対談。その後、Luxor Capital Groupはメルカリの株式の大量売却を開始し、2021年6月時点の保有比率7.53%→2022年8月時点の同3.17%へと大幅に減少。実質的にメルカリを投資対象として見限った可能性があると推察