盗まれたGitHubのトークンを使い、リポジトリに保存された秘密情報(パスワードやAPIキーなど)を抜き取る自動化された攻撃キャンペーン「Gheist」が報告されました。攻撃者は、GitHubの自動処理機能「GitHub Actions」に細工したワークフローを仕込み、リポジトリの秘密情報をActionsの実行ログに表示させます。そしてそのログをダウンロードした後、実行履歴を削除して痕跡を消すとされています。
「トークン」とは、パスワードの代わりにGitHubへのアクセス権を証明する文字列で、開発ツールや自動処理で広く使われています。これが漏れると、持ち主になりすまして操作できてしまいます。今回の攻撃は、非公開のリポジトリやGitHub Enterprise環境でも成功したと報告されています。
この種の攻撃で怖いのは、盗まれるのがソースコードだけではないことです。リポジトリに登録された秘密情報には、クラウドサービスへの接続情報や外部サービスのキーが含まれていることが多く、そこから被害が他のシステムへ広がるおそれがあります。実行履歴が削除されるため、後から気づきにくい点にも注意が必要です。
開発者や管理者は、次の点を確認してください。使っていないトークンは失効させ、必要な権限を最小限に絞る、身に覚えのないワークフローの追加や変更がないか、監査ログを見直す、疑わしい形跡があれば、リポジトリに登録していた秘密情報をすべて入れ替える、という対応が基本です。トークンの管理の甘さは、開発環境における典型的なセキュリティホールの入口になりがちです。