GitHub Actionsを悪用した認証情報窃取が再燃、著名OSSを含む数万リポジトリに不正ワークフロー混入
要点
-
著名オープンソースの作者を含むアカウントが悪用され、数万件規模のGitHubリポジトリに悪意あるワークフローが混入した。
-
セキュリティ監査を偽装したファイルがリポジトリ内のシークレットや全Git履歴を探索し、平文HTTPで外部送信していた。
-
2025年9月に初確認されたサプライチェーン攻撃「GhostAction」の再開とみられ、数百のアカウントが被害を受けた。
-
Dockerイメージに暗号資産マイナーが仕込まれた事例はあるものの、悪意あるパッケージの公開は確認されていない。
-
GitHub上で開発者のアカウントが悪用され、CI/CD（継続的インテグレーション／継続的デリバリー）機能であるGitHub Actionsを通じて機密情報を盗み出す大規模な攻撃が確認された。セキュリティ各社が2026年10月に公開した報告によると、著名リポジトリの作者を含む500以上のアカウントが侵害され、数万件のリポジトリに不正なワークフローが注入されたという。2025年に大規模な被害を出したサプライチェーン攻撃「GhostAction」の再開とみられている。
著名メンテナーのアカウント乗っ取りと被害の拡大
セキュリティ企業StepSecurityの報告によると、攻撃者は正規のアカウントを悪用し、短時間で大量のリポジトリへ変更を加えていた。
具体例として、1万8,400以上のスターを獲得しているゲームエンジン「pyxel」の作者Takashi Kitao氏のアカウントから27件のリポジトリに不正コードがプッシュされ、その約8時間後にはUberの「athenadriver」元作者Henry Wu氏のアカウントから16分間で318件のリポジトリに書き込まれたという。
また調査企業のSocketは、10月7日以降に500以上のアカウントから同様のコミットが行われ、対象リポジトリは数万件に達したと報告した。GitGuardianの調査でも、8月31日から9月30日にかけて373のユーザーや組織に属する772の公開リポジトリでプッシュが確認されている。
2025年に確認された「GhostAction」の再来
一連の手口は、2025年9月に初めて確認されたサプライチェーン攻撃キャンペーン「GhostAction」によるものと特定されている。
GhostActionは開発者アカウントの侵害を起点とする攻撃だ。2025年の活動では327人のユーザーと817件のリポジトリが標的となり、PyPIやnpm、DockerHubのトークンなど3,325件のシークレットが流出していた。今回の活動も特徴が一致しており、同一の脅威主体が本格的に活動を再開したと分析されている。
監査を装い全Git履歴をスキャンする仕組み
攻撃者はインフォスティーラー（情報窃取マルウェア）のログなどから、開発者の個人用アクセストークン（PAT）を入手した可能性が高いとみられる。
リポジトリを事前調査した後、「security-audit.yml」または「github_actions_security.yml」という監査を装ったワークフローをデフォルトブランチへ投入する。ファイルは手動実行やプッシュを契機に、全Git履歴を取得する設定（fetch-depth: 0）で起動する。
単一の「Audit」ステップ内で、既存シークレットの追加、作業ツリー内からの認証情報スキャン、コミット履歴からの過去キー探索、AWSキーの突合という4つの処理を実行し、収集データを特定のIPアドレス（193.32.204[.]199）へ平文HTTPのcurlコマンドで送信する仕組みだった。
標的となった認証情報と副次的な改ざん
標的となった機密情報は多岐にわたる。CI/CDのシークレットやAWSキー、Anthropic、OpenAI、OpenRouterといった主要AIサービスのAPIキー、GitHubやGitLabのトークンが含まれる。GitGuardianによれば、SSH秘密鍵や各種クラウド、チャットボットトークンなど対象は2,577件に上った。
また8月30日には「kuafuai/DevOpsGPT」のDockerイメージに暗号資産マイナー「XMRig」が埋め込まれる事例も確認された。ただし現時点で、盗まれた情報による悪意あるパッケージ公開は確認されていないという。
推奨される確認と対処手順
研究機関は開発者に対し、2026年8月31日以降のリポジトリに上記ワークフローが存在しないか確認するよう求めている。発見された場合は侵害を想定し、GitHub認証情報の無効化、各種クレデンシャルの再発行（ローテーション）、全ブランチからの不正ワークフロー削除を行うことが推奨されている。