> ## Content Index > Fetch the complete content index at: https://joho-todai.com/llms.txt > Use this file to discover other available public pages before exploring further. # GitHubの内部リポジトリ約3800件が流出した経路が判明した - URL: https://joho-todai.com/github-internal-repositories-leak-source-revealed/ - Published: 2026-05-21T12:01:58.000Z - Updated: 2026-08-20T14:53:29.000Z - Author: 岬 徹 - Tags: セキュリティ, GitHub, VS Code, サプライチェーン攻撃, npm, TanStack, TeamPCP, Nx Console, OpenAI, Mistral AI, CI/CD, 1Password, AWS, 脆弱性 VS Code拡張機能の偽バージョンを踏んだ社員1人。それだけで、世界最大のコードホスティングプラットフォームの内部コードが外に出た。 --- ## 18分間の窓 5月18日、Nx Console 18.95.0の改ざん版がVisual Studio Marketplaceに公開された。そのまま残っていたのは18分間だった。 短い。しかし十分だった。 GitHubの社員が、この拡張機能をインストールした。拡張機能は起動時に静かに動き出し、シェルコマンドを実行した。表向きは「MCPのセットアップタスク」を装ったそのコマンドは、Nxの公式GitHubリポジトリに仕込まれたコミットから隠しパッケージを引き出した。収集されたのは、1Passwordのボールト、npm・GitHubのトークン、AWS認証情報、AnthropicのClaude Codeの設定ファイル（`~/.claude/settings.json`）だ。 奪った認証情報を使い、攻撃者はCI/CDパイプラインを横移動し、GitHubの内部リポジトリ約3800件を外部に持ち出した。公開から **18分間** で、それだけの被害が確定した。 > ウェブで公開された悪意あるバージョンの拡張機能を除去し、端末を隔離し、ただちにインシデント対応を開始しました。（GitHub公式ブログより、要約） ## 始まりはTanStackだった Nx Consoleが汚染された背景には、もう一段階の連鎖がある。 5月11日、TeamPCPはTanStackのルーターエコシステムを攻撃し、npmとPyPIを合わせて最終的に170以上のパッケージに感染を広げた。この過程でNxの開発者端末が侵害され、そこからNx Console 18.95.0の悪意あるビルドが生まれた。 TanStackからGitHub侵害までの攻撃チェーン | 2026年5月9〜11日 TanStack/routerへの不正PR 攻撃者がTanStackのリポジトリにPRを送り、GitHub ActionsのOIDCトークンを窃取。侵害の起点 2026年5月11日 19:20〜19:26 UTC npmパッケージ170件以上に感染拡大 @tanstack/\* を中心に84バージョンを汚染。Mistral AI・UiPath等にも連鎖し、Nx開発者端末が感染。GitHubトークンが窃取される。連鎖感染 2026年5月18日 12:30 UTC Nx Console 18.95.0を改ざん公開 窃取したNx開発者の認証情報を使い、悪意あるビルドをVisual Studio Marketplaceに公開。起動時にMCPセットアップタスクに偽装したシェルコマンドを実行。拡張機能汚染 2026年5月18日 12:30〜12:48 UTC（18分間） GitHub社員が感染・認証情報を窃取 GitHub社員1人がNx Consoleをインストール。1Password・GitHubトークン・AWS認証情報・Claude Code設定ファイルが外部に流出。侵害の核心 2026年5月18日中 内部リポジトリ約3800件を持ち出し 攻撃者はCI/CDパイプラインを足がかりにGitHub内部を横移動。Copilot・Enterprise Server等の内部コードを外部に持ち出した。TeamPCPはBreachedフォーラムで最低5万ドルでの売却を告知。約3,800件流出 2026年5月20日 GitHubが侵害を公表・封じ込め CISOのアレクシス・ウェールズ氏が公式ブログで侵害を認め、流出数を「おおむね一致」と説明。端末を隔離し、最優先の認証情報をローテーション。完全な調査報告書を後日公開予定。 | | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ※ 時刻はUTC基準。GitHubのCISO公式発表・TanStack公式ポストモーテム・Notebookcheck報道を基に整理。 > サプライチェーン攻撃とは、ソフトウェアの配布・更新経路そのものを汚染する手法だ。本来信頼されているツールを踏み台に、連鎖的に被害が広がる。 TanStackはReact向けの人気フレームワークとして広く使われており、その依存関係が侵害されたことで、UiPath・Guardrails AI・OpenSearchといったプロジェクトにも影響が及んだ。最終的に **170以上のパッケージ** が汚染され、OpenAIとMistral AIもこの連鎖の犠牲になった。 1件の感染が次の感染の入口になる。サプライチェーン攻撃の本質はそこにある。 ## TeamPCPとは何者か 今回の攻撃を主導したTeamPCPは、Googleの脅威インテリジェンスグループによってUNC6780として追跡されているグループだ。2026年に入ってからの標的を並べると、一本の線が見えてくる。 セキュリティスキャナーのTrivy、コード解析ツールのCheckmarx、パスワード管理のBitwarden CLI、フロントエンドフレームワークのTanStack、そしてGitHub。すべて開発者が日常的に触れるツールだ。TeamPCPは **開発者ツールそのもの** を狙い続けている。 このグループの手法の核心は、「Mini Shai-Hulud」と名付けられた自己増殖型のインフォスティーラーにある。CI/CDの認証情報・クラウドのアクセスキー・Personal Access Tokenを開発者環境から吸い上げ、奪った権限を使って感染パッケージの別バージョンを公開する。感染がまた次の感染を生む。 TeamPCPの2026年標的リスト | 標的ツール | 種別 | 侵入手法 | 公開・活動時間 | | ------------- | -------------- | ------------------------------ | ----------------- | | Trivy | セキュリティスキャナー | GitHub Actions改ざん（PAT窃取） | 2026年3月 | | CheckmarxKICS | インフラセキュリティ | GitHub Actions +Docker Hub同時汚染 | 2026年4月22日83分間 | | BitwardenCLI | パスワード管理 | CI/CDワークフロー改ざん→npm汚染 | 2026年4月22日90分間 | | TanStack | フロントエンドフレームワーク | OIDC悪用→npm 170件以上汚染 | 2026年5月11日20〜26分間 | | GitHub | コードホスティング | VS Code拡張機能改ざん→端末感染 | 2026年5月18日18分間 | ※ Trend Micro・StepSecurity・GitHub公式発表を基に整理。Bitwarden CLIへのTeamPCP直接帰属は一部に異論あり。 > あるセキュリティエンジニアの指摘が刺さる。「ほとんどのセキュリティチームは、開発者のマシンにどんな拡張機能やパッケージが入っているか、それがいつ公開されたか、把握できていない」 ## GitHubの現状認識 GitHubのCISO（最高情報セキュリティ責任者）アレクシス・ウェールズ（Alexis Wales）氏は、攻撃者が主張する「**約3800件**のリポジトリ」という数字は「おおむね調査結果と一致している」と述べた。 顧客が保有する企業・組織・リポジトリなど、GitHub内部リポジトリの外側に保存された顧客情報への影響は現時点では確認されていない。ただし内部リポジトリの一部にはサポートとのやり取りの一部が含まれている可能性があり、影響が判明した場合は順次通知するとしている。 TeamPCPはBreachedフォーラムで「GitHubのソースコードとプライベートコード約4000件分を入手した」と主張し、最低 **5万ドル**（約795万円）での売却を呼びかけている。GitHubはこの主張への帰属については、まだ明確にしていない。 ## 開発者のデスクトップが、最前線になった 「セキュリティの境界はデータセンターではなく、開発者のノートパソコンで終わる」 ファイアウォールの内側から攻撃は来た。社員が自分の作業環境に入れた拡張機能が、入口だった。GitHubは完全な調査報告書を後日公開するとしている。 Visual Studio Marketplaceの審査体制を含め、この攻撃面をどう塞ぐかが問われる。開発者ツールのエコシステムがこれだけ深く連鎖している以上、次の「18分間」がないとは言い切れない。 --- **参照元** - [GitHub公式ブログ - Investigating unauthorized access to GitHub's internal repositories](https://github.blog/security/investigating-unauthorized-access-to-githubs-internal-repositories/) ### 関連記事 - [MiasmaワームでMicrosoftのGitHub 73リポジトリを一時封鎖](https://joho-todai.com/miasma-worm-hits-microsoft-github-73-repositories-sealed/) - [GitHubリポジトリ5500件超にバックドア、「Megalodon」攻撃の手口を分析](https://joho-todai.com/github-repositories-backdoor-megalodon-attack/) - [マイクロソフトが警告。PyPI mistralai汚染、import時に全消去の罠](https://joho-todai.com/pypi-mistralai-contamination-import-deletion-trap/) - [Red Hatの公式npmパッケージ32件が侵害](https://joho-todai.com/red-hat-official-npm-packages-compromised/) - [TanStack含む416件のnpmパッケージにワーム感染](https://joho-todai.com/tanstack-416-npm-packages-worm-infection/) - [セキュリティツールが武器に変わる日 TrivyとAxiosに何が起きたか](https://joho-todai.com/security-tools-become-weapons-trivy-axios/) - [VS Codeのゼロデイ、リンク1つでGitHubトークンが盗まれる](https://joho-todai.com/vs-code-zero-day-github-token-theft/) - [GitHubの内部コードが3,800件流出、入口は拡張機能1本だった](https://joho-todai.com/github-internal-code-leaked-browser-extension/) - [OpenAIのmacOSアプリ署名が北朝鮮に狙われた全経緯](https://joho-todai.com/openai-macos-app-north-korea-attack/) - [AURマルウェア、削除完了の翌日にさらに高度な第3波が発生](https://joho-todai.com/aur-malware-advanced-third-wave-attack/)