セキュリティ企業Aikido Securityによると、攻撃者は火曜日から、盗み出した4,837件のGitHubアカウントの認証情報を使い、それらのアカウントが書き込める1,806件以上のリポジトリ（ソースコードの保管場所）に、秘密情報を盗むプログラムを仕込んだとのことです。
狙われたのは、リポジトリの「CI」と呼ばれる仕組みです。CIとは、コードが更新されるたびに自動でテストやビルドを行う仕組みのことで、その実行にはクラウドサービスへのアクセスキーなど、重要な秘密情報が使われることがよくあります。仕込まれたプログラムは、こうした秘密情報やクラウドの認証情報を抜き取るように作られていました。
この手口の怖さは、正規の持ち主のアカウントから書き込まれるため、一見すると普通の変更に見えることです。盗まれた鍵が使われると、そこから別のクラウド環境や他のプロジェクトへ被害が広がるおそれもあります。
GitHubを使っている方は、アカウントの二要素認証を必ず有効にし、身に覚えのない変更やワークフロー（自動実行の設定）の追加がないか確認してください。不審な点があれば、パスワードやアクセストークン、CIで使っている秘密情報を速やかに変更しましょう。