B
今週中
Datadog Security Labsは、GitHub APIを利用して企業の組織やリポジトリを体系的に列挙する攻撃キャンペーンを警告しています
📌 一言でいうと
Datadog Security Labsは、GitHub APIを利用して企業の組織やリポジトリを体系的に列挙する攻撃キャンペーンを警告しています。攻撃者は数年前から作成された休眠アカウント（ゴーストアカウント）や、漏洩した個人アクセストークン（PAT）を使用して、正当なユーザーを装い潜伏します。多くは公開データの収集ですが、一部では非公開リポジトリのクローンに成功した事例も報告されています。
🔍該当判定
- GitHubで「Organization（組織アカウント）」を作成し、社内で利用している
- GitHubの「Private（非公開）」リポジトリにソースコードを保存している
- GitHubの「個人アクセストークン (PAT)」や「OAuthトークン」を、プログラムや設定ファイルに直接書き込んで利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. 不要な個人アクセストークン（PAT）の削除と、有効期限の設定を徹底すること。2. GitHub組織内での権限管理（最小権限の原則）を見直し、不要なアクセス権を削除すること。3. API利用ログを監視し、不審な列挙活動や未知のユーザーエージェントによるアクセスがないか確認すること。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】GitHub APIを利用した組織列挙および情報収集キャンペーンについて
お疲れさまです。GitHubを標的とした偵察活動に関する情報共有です。
■ 概要
攻撃者が休眠アカウントや漏洩した個人アクセストークン（PAT）を用いて、GitHub API経由で企業の組織構造やリポジトリを列挙するキャンペーンが観測されています。正当なユーザーを装うことで検知を回避し、公開情報の収集のみならず、設定不備がある場合は非公開リポジトリの窃取に至る可能性があります。
■ 影響範囲
- GitHubを利用している組織およびユーザー
- 適切に管理されていないPAT（個人アクセストークン）を保持するユーザー
■ 対応手順
1. PATの棚卸し：不要なトークンの削除および、短期間の有効期限設定を推奨してください。
2. 権限レビュー：リポジトリへのアクセス権限が最小限に制限されているか再確認してください。
3. 監査ログの確認：不審なAPIコールや、不自然なユーザーエージェントによるアクセス履歴がないか確認してください。
■ 参考情報
- Datadog Security Labs Report
対応優先度: 中
対応期限: 今週中
お疲れさまです。GitHubを標的とした偵察活動に関する情報共有です。
■ 概要
攻撃者が休眠アカウントや漏洩した個人アクセストークン（PAT）を用いて、GitHub API経由で企業の組織構造やリポジトリを列挙するキャンペーンが観測されています。正当なユーザーを装うことで検知を回避し、公開情報の収集のみならず、設定不備がある場合は非公開リポジトリの窃取に至る可能性があります。
■ 影響範囲
- GitHubを利用している組織およびユーザー
- 適切に管理されていないPAT（個人アクセストークン）を保持するユーザー
■ 対応手順
1. PATの棚卸し：不要なトークンの削除および、短期間の有効期限設定を推奨してください。
2. 権限レビュー：リポジトリへのアクセス権限が最小限に制限されているか再確認してください。
3. 監査ログの確認：不審なAPIコールや、不自然なユーザーエージェントによるアクセス履歴がないか確認してください。
■ 参考情報
- Datadog Security Labs Report
対応優先度: 中
対応期限: 今週中
Subject: [Security Advisory] Reconnaissance Campaigns Targeting GitHub Organizations via API
Dear Team,
We are sharing information regarding a campaign targeting GitHub organizations for reconnaissance.
■ Overview
Attackers are systematically enumerating corporate GitHub organizations, repositories, and users via the GitHub API. They leverage dormant 'ghost' accounts or compromised Personal Access Tokens (PATs) to blend in with legitimate traffic. While primarily focused on public data, some attackers have successfully cloned private repositories due to misconfigurations.
■ Scope
- Organizations and users utilizing GitHub
- Users with improperly managed or leaked PATs
■ Recommended Actions
1. PAT Audit: Review and revoke unnecessary Personal Access Tokens and enforce short expiration dates.
2. Permission Review: Ensure the principle of least privilege is applied to all repository access.
3. Log Monitoring: Monitor API audit logs for unusual enumeration patterns or suspicious user agents.
■ Reference
- Datadog Security Labs Report
Priority: Medium
Deadline: End of this week
Dear Team,
We are sharing information regarding a campaign targeting GitHub organizations for reconnaissance.
■ Overview
Attackers are systematically enumerating corporate GitHub organizations, repositories, and users via the GitHub API. They leverage dormant 'ghost' accounts or compromised Personal Access Tokens (PATs) to blend in with legitimate traffic. While primarily focused on public data, some attackers have successfully cloned private repositories due to misconfigurations.
■ Scope
- Organizations and users utilizing GitHub
- Users with improperly managed or leaked PATs
■ Recommended Actions
1. PAT Audit: Review and revoke unnecessary Personal Access Tokens and enforce short expiration dates.
2. Permission Review: Ensure the principle of least privilege is applied to all repository access.
3. Log Monitoring: Monitor API audit logs for unusual enumeration patterns or suspicious user agents.
■ Reference
- Datadog Security Labs Report
Priority: Medium
Deadline: End of this week