2026/05/20 22:43
GitHub、悪意のある Visual Studio Code エクステンションによる 3,800 リポジトリの侵害を確認。
RSS: https://news.ycombinator.com/rss
要約▶
日本語翻訳:
GitHub は、従業員が悪意のある Visual Studio Code (VS Code) 拡張機能のインストールによって、約 3,800 の内部リポジトリが侵害された重大なセキュリティインシデントを確認しました。主な影響は、機密性の高い GitHub 内部のソースコードと、ハッカーグループ「TeamPCP」がサイバー犯罪フォーラムで所持していると主張する約 4,000 つのプライベートリポジトリの漏洩可能性がある点にあります。このインシデントは、ソフトウェアサプライチェーン内で長年見られる課題を浮き彫りにしており、過去には悪意のある拡張機能が認証情報を窃取したりマルウェアを配布したりするために利用されてきました。特に以前の年には、数百万回のインストール数を誇りながらセキュリティリスクにより削除されたトロージャン化された VS Code 拡張機能や、クリプトStealing の拡張機能、データを漏洩させる AI ベースのコーディングアシスタントを含む他のインシデントもありました。これら過去の事例は外部ユーザーを標的としたものであったのに対し、今回のインシデントは GitHub の自前のインフラストラクチャと開発チームに限定されており、これらの内部リポジトリの外に保存された顧客データに影響があったという証拠はありません。
本文
GitHub は、同社の従業員が悪意のある Visual Studio Code（VS Code）拡張機能をインストールしたことで、内部リポジトリの約 3,800 が侵害されたことを確認したと発表しています。その後の措置として、同社は無名のトロイの木馬化された拡張機能を VS コードマーケットプレイスから削除し、 compromised（改ざん・不正アクセスされた）デバイスのセキュリティを確保しました。
同社によるコメントでは、「昨日、従業員が使用するデバイスに対して、悪意のある VS コード拡張機能が原因となった侵害が発生したことを検知し、状況の収束を図りました。当該有害な拡張機能のバージョンを削除し、エンドポイントを隔離するとともに、インシデント対応の開始に着手しました」と述べられています。「現在の調査所見によれば、この活動は GitHub の内部リポジトリに対するデータ転出（エクスフィルトレーション）に関連しているのみです。攻撃者の主張する約 3,800 のリポジトリという数字も、これまでの調査結果から見て方向性に合致しており、一貫性があると評価しています」と続いています。
この件は、先週火曜日の夜、BleepingComputer に対して GitHub が内部リポジトリへの不正アクセスに関する告発を受けたことを受けて、調査を行っている旨を表明し、また影響を受けたリポジトリ以外に保存されている顧客データに影響が確認されていないとの見解を示したのを受け、表面化したものです。
GitHub は現時点で侵害の責任者を特定していませんが、TeamPCP というハッカー集団は、火曜日に Breached（サイバー犯罪フォーラム）上で GitHub のソースコードと「約 4,000 の私有リポジトリ」へのアクセス権を獲得したことを主張し、盗まれたデータに対して最低でも 50,000 ドルを要求しました。「いつものようにこれはランサムウェアではありません。Github を恐喝することに私たちは興味がありません。買い手が一人いればデータは我々側で破棄します。退社（リタイア）が迫っているため、もし買い手がみつからなければデータを無償で漏洩させるでしょう」とサイバー犯罪者側は述べています。「関心のある方は、以下の通信経路でご連絡ください。5 千ドル未満のオファーには応じかねますが、最高額のご提案に優先権を置きます」と付け加えました。
TeamPCP は以前、GitHub、PyPI、NPM、Docker など開発者向けコードプラットフォームを対象とした大規模なサプライチェーン攻撃に関与したことが確認されており、最近では OpenAI の 2 名の従業員にも影響を与えた「Mini Shai-Hulud」と呼ばれるサプライチェーンキャンペーンにも関与しています。
VS コード拡張機能は、Microsoft のコードエディタである VS コード向けのアドオン公式ストア（VS コードマーケットプレイス）からインストール可能なプラグインであり、エディタに新たな機能を追加したり、ツールを統合したりするために用いられます。トロイの木馬化された VS コード拡張機能がマーケットプレイス上に検出されるのは初めてではありません。過去数年間にわたり、数百万回のインストール数を記録した複数の悪意のある拡張機能が、開発者の認証情報や他の機密データを盗み出すために使用されてきたからです。
例えば、昨年にはセキュリティ上のリスクを理由に 900 万回のインストール数があった VS コード拡張機能が削除されており、さらにその後、正当な開発ツールを装ったものとして別の 10 つの拡張機能が発見され、それらはユーザーに XMRig という暗号通貨マイナーを感染させていたことが明らかになりました。同年後期には、基本機能を備えたランサムウェアを持つ悪意のある拡張機能が、WhiteCobra と称する脅威アクターが 24 の暗号窃盗用拡張機能を市場で洪水させたという経緯で VS コードマーケットプレイスに侵入したことも確認されています。さらに最近、今年 1 月には、AI によるコーディングアシスタントとして宣伝され、150 万回のインストール数があった 2 つの悪意のある拡張機能が発見されました。これらは侵害された開発者のシステムからデータを中国人民共和国国内のサーバーに転出させたというものでした。
GitHub のクラウドベースプラットフォームは現在、フォブチン・トップ 100 の企業の約 90% を含む 400 万を超える組織および 1.8 億人以上の開発者により利用されており、4.2 億のコードリポジトリへの貢献が行われています。
検証のギャップ：自動ペネトレーションテストは一つの質問に答えられますが、必要なのは六つです。 自動ペネトレーションテストツールには実際の価値がありますが、それらは「攻撃者がネットワークを移動できるか」という単一の問いに答えるために構築されました。あなたの制御が脅威をブロックするか、検知ルールが発火するか、クラウド構成が維持されているかをテストするために設計されたものではありません。本書では、実際には検証しなければならない 6 つの surface（領域）について解説します。 今すぐダウンロード