GitHubが、約3,800の内部リポジトリが侵害されたと確認しました。きっかけは、同社の社員が悪意あるVS Code拡張機能をインストールしてしまったことです。
VS Codeとは、Microsoftの人気コードエディタ「Visual Studio Code」のこと。
そして拡張機能は、エディタに機能を足すためのプラグインです。たとえばコード補完を強化したり、特定のクラウドサービスとつないだりできます。便利な反面、ここに“毒入り”が混ざると厄介です。かなり厄介です。
GitHubはこの拡張機能をVS Code Marketplaceから削除し、影響を受けた端末も隔離したと説明しています。
つまり、発見後の初動はかなり早かったようです。この手のインシデントでは、どれだけ早く止められるかが本当に大事なので、そこは評価したいところです。
GitHubは次のように述べています。
ここで重要なのは、今のところ顧客データへの影響は確認されていないという点です。
「GitHubがやられた」と聞くと、利用者のコードや認証情報まで全部危ないのでは、と不安になる人もいると思います。でも、少なくとも記事時点では、外部顧客のデータに被害が及んだ証拠はないとされています。
今回の件をめぐって、TeamPCPと名乗るハッカーグループが、Breachedというサイバー犯罪フォーラム上で、GitHubのソースコードや約4,000の私的コードリポジトリにアクセスしたと主張しました。
しかも彼らの言い分がなかなか生々しい。
「これはランサムウェアではない」「GitHubを脅して金を取るつもりはない」「最低でも5万ドルは欲しい」「買い手が見つからなければ無料で漏らす」といった内容を投稿していたようです。
この手口、要するに
“金を払え。さもないとばらす”
という古典的な脅しに見えます。個人的には、こういう文言を見るたびに、サイバー犯罪の世界も結局は露骨な見世物だなと思ってしまいます。やっていることは高度でも、やり口はかなり雑で、妙に人間臭いです。
今回の侵入口は、VS Code拡張機能でした。
拡張機能は、開発者にとっては本当に便利です。
でも一方で、インストールした瞬間にその拡張が認証情報を盗む、データを外部送信する、マルウェアを呼び込むといったこともできてしまいます。
つまり、開発者向けの“便利な追加機能”は、そのまま攻撃者にとっての入り口にもなるわけです。
ここが面白くて、そして怖いところです。セキュリティの世界では、派手なゼロデイ攻撃だけが脅威ではなく、信頼されやすい配布経路そのものが狙われるんですよね。
この記事で印象的なのは、「またVS Code拡張機能か」と思わせるほど、過去にも似た事件が続いていることです。
たとえば記事では、次のような事例が挙げられています。
これを見ると、攻撃者が狙うのは単に脆弱性そのものではなく、開発者が日常的に信用している場所なんだとわかります。
正直、ここはかなりイヤらしいです。でも、だからこそ効果的なんでしょうね。
TeamPCPは以前から、GitHub、PyPI、NPM、Dockerといった開発者向けのコード配布基盤を狙う大規模なサプライチェーン攻撃に関係していたとされています。
サプライチェーン攻撃とは、ざっくり言えば、
「本体を直接攻撃するのではなく、部品や流通経路を汚染して、利用者に被害を広げる」
タイプの攻撃です。
たとえば、正規の部品に見せかけた偽物を倉庫に混ぜるようなものです。
見た目が普通でも、実は中身が危ない。これがサプライチェーン攻撃の怖さです。
今回のTeamPCPは、最近の**“Mini Shai-Hulud”と呼ばれるキャンペーンにも関与したとされており、OpenAIの社員2人にも影響が出たと報じられています。
こうした経歴を見ると、今回のGitHub侵害も「たまたま」ではなく、開発者基盤を狙う流れの延長線上にある事件**と考えるのが自然ではないかと思います。
GitHubは、4,000万以上の組織に使われ、Fortune 100企業の90%が利用しているとも言われる巨大な開発基盤です。
180万人どころではなく、1億8,000万人以上の開発者が使っているという規模感も、改めてすごい。
そんな場所で起きた侵害なので、今回の件は単なる一企業のトラブルにとどまりません。
GitHubそのものが世界中のソフトウェア開発の“ハブ”になっている以上、こうした事件は開発の信頼性に直結します。
個人的には、ここが一番大きいポイントだと思います。
今のソフトウェア開発は、コードエディタ、拡張機能、パッケージ、CI/CD、クラウドが全部つながっていて便利な反面、どこか1か所が汚染されると連鎖しやすい。
つまり、開発は速くなったけれど、信用の前提条件がかなり複雑になったんですよね。
今回の事件は、
「便利なものほど安全とは限らない」
という当たり前だけど忘れがちな教訓を突きつけています。
VS Code拡張機能は開発者にとって必需品になりつつありますが、そこに悪意あるコードが混ざると、端末だけでなく、会社の内部資産まで一気に持っていかれる可能性があります。
なので、少なくとも開発現場では次のような姿勢が大切だと思います。
セキュリティは地味ですが、こういう地味な確認が結局いちばん効きます。
派手な攻撃が話題になっても、最後に守るのは、やっぱり日常の小さな警戒心なんだと思います。
参考: GitHub confirms breach of 3,800 repos via malicious VSCode extension
