GitHubアカウント約1900件が侵害、自動化ワークフローを悪用する「GhostAction」で3万超のリポジトリが標的に

要点

• セキュリティ企業GitGuardianにより、GitHubを標的とする認証情報窃盗キャンペーン「GhostAction」の急激な拡大が報告された。

• 約1,900件の開発者アカウントが侵害され、3,000を超えるユーザーや組織に属する3万件以上のリポジトリが悪意あるワークフローの標的となった。

• 攻撃者は盗み出したトークンなどを悪用してリポジトリへ侵入し、セキュリティ診断を装ったGitHub Actionsを仕掛けてシークレットの窃取を試みた。

• Git履歴からAWSキーやAIサービスのAPIキーなどを探索できるよう、攻撃用コードが段階的に進化していたことが判明した。

• GitHubが10月9日より該当する悪質ワークフローの実行遮断を開始したため、その後に発生した波での情報流出は阻止された。

• ソフトウェア開発プラットフォームGitHubの開発者インフラを標的とした大規模な攻撃キャンペーン「GhostAction」が再燃していることが、セキュリティ企業GitGuardianの調査により明らかになった。2026年10月8日から9日にかけて急激な活動拡大が観測され、約1,900件の正規アカウントが侵害された結果、3,000を超えるユーザーおよび組織の3万件以上のリポジトリが悪意ある自動化設定の標的になったという。同社のセキュリティ研究者であるGaetan Ferry氏とGuillaume Valadon氏が詳細を報告している。

被害の全体像と急増の経緯

GitGuardianの報告によると、今回の攻撃の急増は2026年10月8日と9日にかけて確認された。攻撃者は侵害した約1,900件のアカウントを経由し、合計3万件を超えるソフトウェアリポジトリに対して攻撃を展開した。この活動によって、公開リポジトリのCI（継続的インテグレーション：コード変更時のビルドやテストを自動化する仕組み）環境から、実に3,174件に上るシークレット情報の抽出が試みられたとされている。

標的となったリポジトリの管理者層には、3,000以上のユーザーや組織が含まれていた。研究者らの分析によると、今回の急増で標的となった被害者の一部は、2025年9月や2026年8月に発生した過去の攻撃波でも侵害されていた対象と重複していたという。攻撃者は、過去に標的となった環境においてシークレット情報が更新（ローテーション）されずに残されている可能性を狙ったとみられている。

侵入経路とセキュリティ機能を偽装した手口

GhostActionは、GitHub上の開発環境を標的とするサプライチェーン攻撃キャンペーンの呼称である。2025年9月に初めて確認された手口で、正当な開発者アカウントを侵害した上で、リポジトリ内に悪意あるGitHub Actions（GitHub上で自動化処理を実行する機能）のワークフローを注入する点に特徴がある。

攻撃者がリポジトリへの書き込み権限を獲得する手段としては、事前に盗み出されたPersonal Access Token（PAT：各種操作の認証を行うための個人用トークン）や、インフォスティーラー（感染端末から保存された認証情報を収集・窃取するマルウェア）の流出ログやデータダンプから得られた認証情報が悪用されていた。

乗っ取られたメンテナ（保守担当者）のアカウントを通じて、リポジトリには不正な自動化ワークフローファイルが直接プッシュされた。その際、リポジトリ管理者らの警戒を避けるため、「security-audit.yml（セキュリティ監査）」や「github_actions_security.yml（GitHub Actionsセキュリティ）」といった、正当なセキュリティ診断処理を思わせる偽装名称が用いられていたことが判明している。

標的となった認証情報とペイロードの段階的進化

攻撃活動の最終的な目的は、CI/CD環境内に保存されている各種認証情報の大規模な窃取にある。具体的には、クラウドサービスの認証情報、npm、PyPI、DockerHubといった主要なパッケージレジストリ（ソフトウェア部品を配信する公開保管所）のアクセストークン、さらにはAIプロバイダーのAPIキーなどが標的となっていた。

GhostActionの新たな波は2026年8月31日以降に観測され始め、当初は数百件規模のリポジトリに悪意あるワークフローがプッシュされていた。GitGuardianによると、この新たな波は過去のものと比較して手動かつ実験的な傾向が強く、注入されるペイロード（攻撃コード本体）が段階的に進化を遂げていたという。

ペイロードの進化過程は大きく3つの段階に分かれていた。セキュリティ企業のSocketおよびStepSecurityが指摘していた通り、初期の第1バージョンでは、従来のGhostActionペイロードに加えて過去のGitコミット履歴を走査する「シークレットスキャン機能」が追加された。ここには正規表現を用いた検出パターンが組み込まれており、AWSキーID、GitHubやGitLabのトークン、クラウドサービスのAPIキー、AI関連の秘密鍵などを幅広く検出できるよう設計されていた。

続く第2バージョンでは、AWSキーIDが検出された箇所の前後約2行分の文脈（コンテキスト）を取得する機能が追加された。これは、発見されたキーIDと対になるシークレットアクセスキーを確実に紐付けて特定するための改良であった。そして第3バージョンとなる最終形態では、Git履歴の走査全体において、検出されたシークレットの前後の文脈情報を合わせて取得できるように仕様が拡張されていた。

攻撃の拡散フェーズとGitHubによる実行遮断

GitGuardianの追跡調査によると、今回のペイロードは段階的な手順を踏んで配備されていた。まず最初に、過去の攻撃で観測されていた160件の被害対象に向けて先行配備が実行された。そのわずか20分後、10月8日から9日にかけて、一気に2万8,000件もの新規リポジトリへと攻撃範囲が一挙に拡大された。

その後、同様のペイロードを用いた新たな攻撃波が10月10日と12日にも観測された。しかし、プラットフォームを運営するGitHub側が10月9日の時点で該当する悪意あるワークフローの実行を自動的に阻止する対策を導入した。その結果、10日と12日に発生した攻撃波においてはワークフローが正常に動作せず、新たなシークレットの抽出は未遂に終わったと報告されている。