GitHub侵害の全容：毒入りVS Code拡張機能から内部リポジトリ約3,800件が流出

同社はまた、影響を受けたのは GitHub自身の内部コードリポジトリであり、ユーザーがGitHub上で管理しているリポジトリではないと説明している。

侵害はどのように起きたのか

侵入経路となったのは、開発者の間で広く使われているコードエディタ Visual Studio Code（VS Code） の拡張機能だった。

調査によると、この拡張機能は「ポイズン（改ざん）」されたもので、GitHub従業員の端末にインストールされたことで攻撃者がデバイスを乗っ取る足掛かりを得た。そこから社内システムにアクセスし、GitHubのインフラや開発プロセスに関連する **数千件の内部リポジトリをクローン（コピー）**したとみられている。

GitHubは次の対応を取ったと説明している。

• 侵害の検知と封じ込め
• VS Code Marketplaceから悪意ある拡張機能を削除
• 影響を受けた従業員端末を隔離
• 社内セキュリティ調査の開始

現在の評価では、外部に持ち出されたのは GitHub内部のリポジトリのみとされている。

顧客データへの影響は？

GitHubは公式声明で、顧客データへの影響は現時点で確認されていないと強調している。

具体的には次の点が示されている。

• ユーザーがGitHub上に保存している公開・非公開リポジトリ
• 企業向けGitHub Enterpriseのデータ
• GitHubの内部システム外に保存されている顧客情報

これらについて、現時点で侵害の証拠は見つかっていないという。ただし調査は継続しており、追加の不審な活動がないか監視を続けているとしている。

犯行を主張する「TeamPCP」

この事件については、TeamPCP と名乗るハッカー集団が関与を主張している。

同グループはサイバー犯罪フォーラムで、GitHubの内部コードや組織データへのアクセスを宣伝し、販売を持ちかけていたと報じられている。

一部のセキュリティ研究者は、このグループを UNC6780 という脅威クラスターと関連付けているが、GitHub自身が正式に帰属を確認したわけではないため、詳細はまだ確定していない。

報道では、盗まれたデータが数万ドル規模で販売されようとしている可能性も指摘されている。

なぜ重要なのか：ソフトウェア・サプライチェーン攻撃

今回の事件が注目される理由は、単なる企業侵害ではなく、開発ツールを狙うサプライチェーン攻撃の典型例だからだ。

近年、攻撃者は直接サーバーを攻撃するよりも、開発者が日常的に使うツールを狙う傾向が強まっている。例えば以下のような領域だ。

• VS Code拡張機能
• npm や PyPI のパッケージ
• CI/CDパイプライン
• コンテナイメージや開発ツール

こうしたツールは多くの企業の開発環境に組み込まれているため、1つのツールを侵害すれば多数のシステムに波及する可能性がある。

実際、業界調査ではオープンソースエコシステムでの悪意あるパッケージや開発環境を狙った攻撃が増加していることが報告されている。

開発組織が学ぶべきセキュリティ対策

今回の事件は、開発環境のセキュリティの重要性を改めて示した。企業が取るべき対策としては次のようなものが挙げられる。

• 拡張機能やプラグインの許可リスト（allowlist）管理
• 開発者端末の監視と異常検知
• リポジトリアクセスの最小権限化
• トークンや認証情報の定期ローテーション
• シークレットスキャンや依存関係セキュリティの導入

開発者の端末は、ソースコード・CI/CD・クラウド認証情報などにアクセスできることが多く、侵害されると企業インフラの深い部分まで到達される可能性がある。

ソフトウェア開発の新しいリスク

GitHubの今回の事件は、現代のソフトウェアセキュリティが 「開発者が使うツールの安全性」 に強く依存していることを示している。

GitHubによれば、現時点では顧客データへの影響は確認されていない。しかし、わずか1つの悪意ある拡張機能が大規模なプラットフォームの内部コードへ到達した事実は、開発ツールのエコシステム全体が新しい攻撃対象になっていることを物語っている。