速報攻撃キャンペーン2026.10.26

GheistがGitHubの認証情報を悪用、非公開リポジトリの秘密情報を狙う

影響を受けるもの

GitHubの非公開リポジトリ
GitHub Enterprise環境
GitHub Actionsの秘密情報
自社管理の実行用サーバー

Wizは10月25日、盗まれたGitHubトークンを大量に悪用する攻撃「Gheist」を報告した。9月15日から追跡し、850超の侵害アカウントから1万3,500超の不正なブランチを確認したという。攻撃者はアクセス可能なリポジトリへ自動処理を追加し、秘密情報を実行ログへ出力させて取得する。非公開リポジトリと企業向け環境で、実行の成功とその後の活動が観測された。^[1]

攻撃は盗まれた認証情報を入口に、既存の開発・配布機能を利用する。Wizが調べた公開リポジトリではGitHubの承認保留機能が不正な実行を止めていた。企業側では、本番用の秘密情報を持つ環境に承認者を設定し、クラウドとの認証連携を保護されたブランチや環境に限定することが対策になる。^[1]

開発担当者とクラウド管理者は、リポジトリの変更履歴とクラウド側の監査ログを合わせて確認したい。Wizは侵害されたリポジトリが利用できる秘密情報の交換と、侵入に使われたトークンの失効を勧める。自社管理の実行用サーバーで不審なブランチが動いた場合は、サーバーと割り当てられたクラウド権限も侵害対象として調査する。^[1]

担当者が確かめること

GitHubでci-sync-から始まる不審なブランチと、追加された.github/workflows/sync-check.ymlを探し、保留中の実行を承認せず担当者へ確認する。
GitHubの監査ログで、完了から1分以内に削除された実行と、gheistというユーザーエージェントの操作を調べる。
クラウドの監査ログで、ci-sync-ブランチを主体とする権限取得やトークン交換を確認する。
侵害を確認したリポジトリでは利用可能だった秘密情報を交換し、侵入に使われたトークンを失効させる。
本番環境の承認者とクラウド認証の信頼条件を点検し、自社管理の実行用サーバーの権限を必要最小限にする。