ハッカー集団「GitHub 内部リポジトリ 4000 件を窃取した」と主張、本体が調査開始

「GitHub 内部リポジトリ 4000 件を窃取した」とハッカー集団が主張 #

ハッカー集団がダークウェブ上で「GitHub の内部リポジトリ 約 4000 件を窃取した」と主張し、GitHub が調査を開始した。GitHub 本体のソースコードや内部ツール群が標的となった可能性があり、もし主張が事実であれば、開発者プラットフォームを丸ごと支える内部資産が外部に流出したことになる。GitHub は 2026 年 5 月 19 日時点で「事実関係を確認中」とコメントするにとどめている。

「主張」段階でも警戒が必要な理由 #

過去にも、ハッカー集団によるリポジトリ窃取の主張が 後日サンプル公開で裏付けられる ケースは少なくない。GitHub の内部リポジトリには、ビルドスクリプト、内部運用ツール、CI 設定、認証関連のロジックなどが含まれる可能性があり、流出した場合の影響範囲は単なる「データ漏えい」では収まらない。攻撃者はソースコードを精査して未公開の脆弱性を探し、サプライチェーン攻撃の起点として使う恐れがある。

主張が事実なら、最大の懸念は GitHub Actions / Codespaces などホスト型サービス向けのトークンや秘密鍵が流出経路に含まれていなかったか という点である。これらは多数のユーザのワークフローに直結しているため、一次被害が GitHub の内部に留まらず、利用企業へ波及する余地がある。

ユーザ側で今すぐできる備え #

主張の真偽が確定するまでは、ユーザ側も次の点を点検しておきたい。Personal Access Token (PAT) や OAuth アプリ連携の 最小権限化と棚卸し、組織アカウントでの SSO 強制と SAML 連携の見直し、CI に置きっぱなしの長寿命シークレットを OIDC ベースの短命トークンへ置換 ――この 3 点だけでも、万一連鎖的な侵害が起きた際の被害は大きく縮小する。プラットフォーム側の発表を待つだけでなく、自分のサプライチェーン上でできる縮小を進めるタイミングだと捉えるべきだ。

参考 #

• ITmedia NEWS: GitHub、内部リポジトリへの不正アクセスを「調査中」 ハッカー集団「4000件窃取」と主張