数年前の「休眠アカウント」を悪用、企業のGitHub構成をマッピングする偵察キャンペーンにDatadogが警告
要点
- セキュリティ企業のDatadogが、企業のGitHub組織やリポジトリを標的とした系統的なAPI調査キャンペーンを確認し、警告を発した。
- 攻撃者は、検知を回避するために2〜5年前に作成されて長期間放置されていた「ゴースト（休眠）」アカウントを50個以上悪用している。
- 調査の多くはログイン不要でアクセスできる公開データを対象にしているが、一部では個人アクセストークンの漏洩などを突いてプライベートリポジトリの複製に成功した事例もある。
- 個別のAPIリクエストは正当なアクセスに見えるため追跡が難しいが、複数のアカウントが同期して数週間にわたり組織内を巡回する不審な挙動が検知された。
リード文
クラウド監視・セキュリティ企業のDatadog（データドッグ）のセキュリティ研究部門であるDatadog Security Labsは2026年7月9日、複数の重複するサイバー攻撃キャンペーンについて警告した。同社によると、攻撃者はGitHubのAPIを悪用し、企業のGitHub組織、公開・非公開リポジトリ、およびユーザーアカウントの構成情報をプログラム的に走査・収集（マッピング）しているという。このキャンペーンでは、数年間放置されていた休眠アカウントや、漏洩した認証情報が巧妙に利用されていることが判明した。
本文
巧妙化するマッピング手法と「ゴーストアカウント」の悪用
Datadogのシニアセキュリティエンジニアであるジュリー・アグネス・スパークス（Julie Agnes Sparks）氏が公開した報告書によると、今回のキャンペーンを実行している攻撃者グループは、自動化されたスクレイピングツール（Web上のデータを自動収集するプログラム）を使用している。さらに、カスタムされたユーザーエージェント（ブラウザやプログラムの識別情報）や、一見すると本物のように見える名称のユーザーエージェントを使い分けることで、不審な挙動の隠蔽を図っているという。
特に注目すべきなのは、攻撃に用いられている「ゴースト（Ghost）」と呼ばれる休眠アカウントの存在だ。今回のキャンペーンでは50個以上のゴーストアカウントが確認されている。これらのアカウントは2〜5年前に作成された後、意図的に長期間にわたって活動を行わずに放置されていたという。
攻撃者は、新規アカウントを使って突然大量のデータ収集（スクレイピング）を開始すると警戒されやすいことを理解している。そのため、数年前に作成された古いアカウントを動員することで、GitHub側の監視をくぐり抜け、正当な一般ユーザーによる通常のAPI利用であるかのように偽装してトラフィックを発生させている。これは検知を回避するための戦略的なアプローチだという。
認証情報の悪用と標的
攻撃の手段はゴーストアカウントだけにとどまらない。攻撃者は、開発者が意図せず公開してしまった個人アクセストークン（PAT：パスワードの代わりにAPIアクセスに用いる認証コード）や、OAuthトークン（アプリ連携のための認証キー）が何らかの理由で侵害されたケースなど、実在する正当なアカウントも数十個悪用している。
GitHubのAPI（アプリケーション・プログラミング・インターフェース：ソフトウェア同士が情報をやり取りするための窓口）の大部分は、認証を行わなくてもアクセス可能な公開エンドポイントとして提供されている。そのため、攻撃者は認証情報を一切使わない、あるいは安全に認証を済ませた状態で、以下のような情報を合法的なクエリ（問い合わせ）を通じてプログラム的にリストアップしている。
- 企業の組織（Organization）に属するパブリックリポジトリの一覧
- 特定のユーザーがフォローしているアカウント、およびフォロワーのリスト
- Gist（短いコードなどを手軽に共有できるサービス）の投稿内容、スターを付けたリポジトリ、所属している組織の情報
- 公開オブジェクトに対して、必要なデータだけを効率よく取得できる「GraphQL」クエリの実行
これらの情報は、攻撃者が事前にターゲットとなる企業のGitHub上のアクティビティを調査し、詳細な構成図を描き出すための「偵察（レコネイサンス）」活動に利用される。具体的には、どのメンバーが誰とつながっており、どのプロジェクトを修正しているかといった組織の構造や開発状況が正確に割り出されてしまう恐れがある。
単体のアクセスでは見抜けない、集積された脅威
今回の調査では、大半のアクセスにおいてパブリック（公開）データの収集が中心となっていたものの、一部の特定のシナリオにおいては公開情報の収集にとどまらず、攻撃者が標的となった企業のプライベート（非公開）リポジトリのクローン（複製）作成に成功した事例も確認されている。
Datadogは報告の中で、「個別に見れば、これらのAPIリクエストのほとんどは特筆すべきものではない。公開されているエンドポイントにアクセスし、認証を通すか、あるいは認証を全く行わない状態で、単に正常なレスポンスを受け取っているに過ぎない」と説明している。しかし、これらを一つにまとめて分析したときに本当の脅威が浮かび上がってくる。
「本当の懸念は、それらのアクセスが集計された時にある。複数のアカウントが完全に同期しながら、様々な企業のGitHub組織を渡り歩いている。そして、バージョン管理されたカスタムツールを用いて数週間にわたり巡回と反復処理を繰り返し、最悪のケースでは、情報の走査（列挙）を終えた攻撃者がプライベートリポジトリのクローン作成を開始しているのだ」と、Datadogは組織的かつ長期にわたるキャンペーンの危険性を強調している。