B
今週中
有名オープンソース開発者のGitHubアカウントが侵害され、345件のソースコードリポジトリに悪性コードが挿入されるサプライチェーン攻撃「GhostAction…
📌 一言でいうと
有名オープンソース開発者のGitHubアカウントが侵害され、345件のソースコードリポジトリに悪性コードが挿入されるサプライチェーン攻撃「GhostAction」が確認されました。攻撃者は「Security Audit」という名前のGitHub Actionsワークフローを悪用し、AWS、Google、OpenAIなどのAPIキーや認証情報を窃取しようとしました。特に、現在のコードだけでなく過去のコミット履歴からも機密情報を検索して外部サーバーへ送信していた点が特徴です。
🔍該当判定
- GitHubを利用しており、かつ『GitHub Actions』による自動化設定を行っている
- GitHubのソースコード（過去の履歴を含む）に、AWSやGoogle Cloudのアクセスキーを直接書き込んだことがある
- GitHubのソースコード（過去の履歴を含む）に、OpenAIやAnthropicなどのAIサービス用APIキーを直接書き込んだことがある
- GitHubのソースコード（過去の履歴を含む）に、GitHubやGitLabの認証トークンを直接書き込んだことがある
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. GitHub Actionsのワークフロー設定および権限を定期的にレビューし、不審なジョブ（例: Security Audit）が追加されていないか確認すること。 2. ソースコードにハードコードされたAPIキーやパスワードを完全に削除し、シークレット管理ツール（GitHub Secrets等）へ移行すること。 3. 過去のコミット履歴に機密情報が含まれている場合は、履歴の書き換え（BFG Repo-Cleaner等）を行い、速やかにキーをローテーションすること。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】GitHub Actionsを悪用したサプライチェーン攻撃（GhostAction）への対応について
お疲れさまです。GitHub Actionsを悪用した認証情報窃取攻撃に関する情報共有です。
■ 概要
有名開発者のアカウント侵害を起点に、GitHub Actionsに「Security Audit」という偽のセキュリティ監査ジョブを挿入し、AWSやAIサービス（OpenAI等）のAPIキーを窃取する攻撃が観測されました。攻撃者は現在のコードだけでなく、過去のコミット履歴からも機密情報を抽出して外部送信しています。
■ 影響範囲
- GitHub Actionsを利用しているリポジトリ
- ソースコードまたは過去の履歴にAPIキー等をハードコードしているプロジェクト
■ 対応手順
1. 自社管理リポジトリのGitHub Actions設定を確認し、身に覚えのないワークフロー（特に「Security Audit」等の名称）が追加されていないか点検してください。
2. ソースコードおよびGit履歴に機密情報が残っていないかスキャンし、発見した場合は即座にキーを無効化・再発行してください。
3. 開発者アカウントに多要素認証 (MFA) が適用されているか再確認してください。
■ 参考情報
- StepSecurity 分析レポート
対応優先度: 高
対応期限: 速やかに
お疲れさまです。GitHub Actionsを悪用した認証情報窃取攻撃に関する情報共有です。
■ 概要
有名開発者のアカウント侵害を起点に、GitHub Actionsに「Security Audit」という偽のセキュリティ監査ジョブを挿入し、AWSやAIサービス（OpenAI等）のAPIキーを窃取する攻撃が観測されました。攻撃者は現在のコードだけでなく、過去のコミット履歴からも機密情報を抽出して外部送信しています。
■ 影響範囲
- GitHub Actionsを利用しているリポジトリ
- ソースコードまたは過去の履歴にAPIキー等をハードコードしているプロジェクト
■ 対応手順
1. 自社管理リポジトリのGitHub Actions設定を確認し、身に覚えのないワークフロー（特に「Security Audit」等の名称）が追加されていないか点検してください。
2. ソースコードおよびGit履歴に機密情報が残っていないかスキャンし、発見した場合は即座にキーを無効化・再発行してください。
3. 開発者アカウントに多要素認証 (MFA) が適用されているか再確認してください。
■ 参考情報
- StepSecurity 分析レポート
対応優先度: 高
対応期限: 速やかに
Subject: [Security Alert] Supply Chain Attack via GitHub Actions (GhostAction)
Dear IT/Security Team,
We are sharing information regarding a supply chain attack known as 'GhostAction' that leverages GitHub Actions to steal sensitive credentials.
■ Overview
Attackers compromised prominent developer accounts to inject a malicious workflow named 'Security Audit' into 345 repositories. This workflow scans both current and historical commit logs for AWS, Google, and AI service (OpenAI, Anthropic) API keys, exfiltrating them to an external server.
■ Scope
- Repositories utilizing GitHub Actions
- Projects with hardcoded secrets in current or historical Git commits
■ Action Items
1. Audit GitHub Actions workflows in your repositories for unauthorized jobs, specifically those named 'Security Audit'.
2. Scan source code and Git history for leaked secrets. If found, rotate the affected API keys and tokens immediately.
3. Ensure all developer accounts have Multi-Factor Authentication (MFA) enabled.
■ Reference
- StepSecurity Analysis Report
Priority: High
Deadline: Immediate
Dear IT/Security Team,
We are sharing information regarding a supply chain attack known as 'GhostAction' that leverages GitHub Actions to steal sensitive credentials.
■ Overview
Attackers compromised prominent developer accounts to inject a malicious workflow named 'Security Audit' into 345 repositories. This workflow scans both current and historical commit logs for AWS, Google, and AI service (OpenAI, Anthropic) API keys, exfiltrating them to an external server.
■ Scope
- Repositories utilizing GitHub Actions
- Projects with hardcoded secrets in current or historical Git commits
■ Action Items
1. Audit GitHub Actions workflows in your repositories for unauthorized jobs, specifically those named 'Security Audit'.
2. Scan source code and Git history for leaked secrets. If found, rotate the affected API keys and tokens immediately.
3. Ensure all developer accounts have Multi-Factor Authentication (MFA) enabled.
■ Reference
- StepSecurity Analysis Report
Priority: High
Deadline: Immediate