ソフトウェア開発の共有サービス「ギットハブ（GitHub）」で、乗っ取られた約4800のアカウントが悪用され、開発用の秘密情報を盗むプログラムが大量のリポジトリ（ソースコードの保管場所）に仕込まれたことがわかりました。米セキュリティ企業のエイキドー・セキュリティとセーフデップが12日に分析結果を公表しました。
6万超のリポジトリに「試し」の申請
攻撃は10日に始まりました。攻撃者は盗んだ4837のアカウントを使い、「docs: dependency audit notes」という題名の変更申請（プルリクエスト）を約6万2000のリポジトリに送りつけ、書き込み権限があるかを確かめました。そのうえで、自動テストやビルドを行う「CI」と呼ばれる仕組みに、秘密情報を盗むプログラムを紛れ込ませました。エイキドーによると、少なくとも1806のリポジトリで実際にこのプログラムが動き、セーフデップは不正な変更が加えられたリポジトリを8093と数えています。
クラウドの鍵まで狙う
盗まれる情報は、ギットハブのアクセス用トークン（認証の鍵）や、AWS・Azure・グーグルクラウドといったクラウドサービスの認証情報、AIサービスのAPIキーなど多岐にわたります。さらに、クラウド上に長期間使える新しい鍵を作ったり、外部からの接続を許す設定に書き換えたりして、鍵を変更しても侵入を続けられるよう細工する機能も確認されました。771のリポジトリでは、パッケージを導入する「npm install」の実行時に動く仕組みが使われ、開発者のパソコンも感染の対象になったとみられます。
ソフト配布にも波及
被害を受けた利用者のうち少なくとも50人は、npmやPyPIなどでソフトウェア部品を公開している開発者でした。実際に、PHP向けやGo言語向けの一部パッケージに不正なコードが混入したことが確認されています。両社は、該当するリポジトリの秘密情報はすべて漏れたものとみなして変更し、2段階認証を有効にするよう呼びかけています。
日本への影響
ギットハブは日本でも、大手IT企業からスタートアップ、個人開発者まで幅広く使われています。今回のように開発基盤そのものが狙われると、盗まれたクラウドの鍵を使って企業のシステムに侵入されたり、汚染されたソフトウェア部品が取引先や利用者に広がったりする「サプライチェーン攻撃」につながる恐れがあります。
自社でギットハブを利用している企業は、10日以降に心当たりのない変更申請や「ci: refresh build cache」などの更新が届いていないかを確認することが求められます。特にクラウドの認証情報をCIに登録している場合は、念のため鍵を作り直し、クラウド側の操作記録に見覚えのない設定変更がないかを点検しておくと安心です。
まとめ：開発の現場も攻撃の最前線になっており、日ごろから認証情報の管理と2段階認証の徹底を見直しておきたいところです。
出典：
thehackernews.com / aikido.dev / safedep.io
Photo: Roman Synkevych / Unsplash
