ニュース

GitHubの5千件以上のリポジトリに侵害。自動化ツールを悪用

宇都宮充

2026年5月27日 06:12

　セキュリティ企業のSafeDepは5月21日、GitHubのワークフロー自動化ツール「GitHub Actions」を悪用した大規模攻撃キャンペーン「Megalodon」について報告した。

　報告によれば、Megalodonは協定世界時5月18日11時36分から17時48分までの約6時間にわたって行なわれた。GitHub Actionsのワークフローに悪意あるbashスクリプトを仕込むことで、5,561件のGitHubリポジトリにおいて、5,718件の悪意あるコミットが自動的にプッシュされたという。

　オープンソースチャットプラットフォーム「Tiledesk」の被害事例では、Tiledeskの9つのGitHubリポジトリにバックドアが仕込まれ、コードが汚染されていることに気付かないまま正規メンテナーがパッケージを公開。npmパッケージにバックドアが混入し、ユーザーに配布されてしまう事態となった。

　具体的な手口としては、使い捨てのアカウントを一般的なCIボットに偽装し、GitHub Actionsのワークフローに悪意のあるbashスクリプトを注入。正規のシステムによる動作に見せかけて、注入されたスクリプトが環境からさまざまな機密情報を収集し、攻撃者のC2サーバーへ送信する。盗み出される情報には以下のようなものが含まれる。