#認証情報

GitHubの346リポジトリに偽の監査ワークフロー、クラウドの鍵を窃取

GitHubを狙うサプライチェーン攻撃GhostActionの新しい波で、乗っ取られた開発者アカウントから346のリポジトリに偽の『security-audit.yml』が仕込まれました。今回は過去のコミット履歴まで探して鍵を盗みます。自社や委託先がGitHubを使う場合の点検と対応を整理します。