セキュリティ

GitHubの内部リポジトリ約3800件が流出した経路が判明した

岬徹

2026年5月21日 21:0100

VS Code拡張機能の偽バージョンを踏んだ社員1人。それだけで、世界最大のコードホスティングプラットフォームの内部コードが外に出た。

18分間の窓

5月18日、Nx Console 18.95.0の改ざん版がVisual Studio Marketplaceに公開された。そのまま残っていたのは18分間だった。

短い。しかし十分だった。

GitHubの社員が、この拡張機能をインストールした。拡張機能は起動時に静かに動き出し、シェルコマンドを実行した。表向きは「MCPのセットアップタスク」を装ったそのコマンドは、Nxの公式GitHubリポジトリに仕込まれたコミットから隠しパッケージを引き出した。収集されたのは、1Passwordのボールト、npm・GitHubのトークン、AWS認証情報、AnthropicのClaude Codeの設定ファイル（~/.claude/settings.json）だ。

奪った認証情報を使い、攻撃者はCI/CDパイプラインを横移動し、GitHubの内部リポジトリ約3800件を外部に持ち出した。公開から 18分間 で、それだけの被害が確定した。

ウェブで公開された悪意あるバージョンの拡張機能を除去し、端末を隔離し、ただちにインシデント対応を開始しました。（GitHub公式ブログより、要約）

始まりはTanStackだった

Nx Consoleが汚染された背景には、もう一段階の連鎖がある。

5月11日、TeamPCPはTanStackのルーターエコシステムを攻撃し、npmとPyPIを合わせて最終的に170以上のパッケージに感染を広げた。この過程でNxの開発者端末が侵害され、そこからNx Console 18.95.0の悪意あるビルドが生まれた。

TanStackからGitHub侵害までの攻撃チェーン

2026年5月9〜11日

TanStack/routerへの不正PR

攻撃者がTanStackのリポジトリにPRを送り、GitHub ActionsのOIDCトークンを窃取。侵害の起点

2026年5月11日 19:20〜19:26 UTC

npmパッケージ170件以上に感染拡大

@tanstack/* を中心に84バージョンを汚染。Mistral AI・UiPath等にも連鎖し、Nx開発者端末が感染。GitHubトークンが窃取される。連鎖感染

2026年5月18日 12:30 UTC

Nx Console 18.95.0を改ざん公開

窃取したNx開発者の認証情報を使い、悪意あるビルドをVisual Studio Marketplaceに公開。起動時にMCPセットアップタスクに偽装したシェルコマンドを実行。拡張機能汚染

2026年5月18日 12:30〜12:48 UTC（18分間）

GitHub社員が感染・認証情報を窃取

GitHub社員1人がNx Consoleをインストール。1Password・GitHubトークン・AWS認証情報・Claude Code設定ファイルが外部に流出。侵害の核心

2026年5月18日中

内部リポジトリ約3800件を持ち出し

攻撃者はCI/CDパイプラインを足がかりにGitHub内部を横移動。Copilot・Enterprise Server等の内部コードを外部に持ち出した。TeamPCPはBreachedフォーラムで最低5万ドルでの売却を告知。約3,800件流出

2026年5月20日

GitHubが侵害を公表・封じ込め

CISOのアレクシス・ウェールズ氏が公式ブログで侵害を認め、流出数を「おおむね一致」と説明。端末を隔離し、最優先の認証情報をローテーション。完全な調査報告書を後日公開予定。

※ 時刻はUTC基準。GitHubのCISO公式発表・TanStack公式ポストモーテム・Notebookcheck報道を基に整理。

サプライチェーン攻撃とは、ソフトウェアの配布・更新経路そのものを汚染する手法だ。本来信頼されているツールを踏み台に、連鎖的に被害が広がる。

TanStackはReact向けの人気フレームワークとして広く使われており、その依存関係が侵害されたことで、UiPath・Guardrails AI・OpenSearchといったプロジェクトにも影響が及んだ。最終的に 170以上のパッケージ が汚染され、OpenAIとMistral AIもこの連鎖の犠牲になった。

1件の感染が次の感染の入口になる。サプライチェーン攻撃の本質はそこにある。

TeamPCPとは何者か

今回の攻撃を主導したTeamPCPは、Googleの脅威インテリジェンスグループによってUNC6780として追跡されているグループだ。2026年に入ってからの標的を並べると、一本の線が見えてくる。

セキュリティスキャナーのTrivy、コード解析ツールのCheckmarx、パスワード管理のBitwarden CLI、フロントエンドフレームワークのTanStack、そしてGitHub。すべて開発者が日常的に触れるツールだ。TeamPCPは 開発者ツールそのもの を狙い続けている。

このグループの手法の核心は、「Mini Shai-Hulud」と名付けられた自己増殖型のインフォスティーラーにある。CI/CDの認証情報・クラウドのアクセスキー・Personal Access Tokenを開発者環境から吸い上げ、奪った権限を使って感染パッケージの別バージョンを公開する。感染がまた次の感染を生む。

TeamPCPの2026年標的リスト

標的ツール	種別	侵入手法	公開・活動時間
Trivy	セキュリティスキャナー	GitHub Actions 改ざん（PAT窃取）	2026年3月
Checkmarx KICS	インフラセキュリティ	GitHub Actions + Docker Hub同時汚染	2026年4月22日 83分間
Bitwarden CLI	パスワード管理	CI/CDワークフロー改ざん→npm汚染	2026年4月22日 90分間
TanStack	フロントエンドフレームワーク	OIDC悪用→ npm 170件以上汚染	2026年5月11日 20〜26分間
GitHub	コードホスティング	VS Code拡張機能改ざん→端末感染	2026年5月18日 18分間