GitHubユーザーが平文パスワードの不備で身代金を要求される事態に

…第三者が、リポジトリへのアクセス権を持つユーザーの正しいユーザー名とパスワードを使用して、あなたのアカウントにアクセスしました。他のGitホスティングサービスでも同様の攻撃が発生していることから、これらの認証情報は別のサービスから流出した可能性があると考えられます。

Webサービスのユーザーにとって、個人データの漏洩の可能性を告げるメールを受け取るのは決して気分の良いものではありません。ましてや、そのデータがあなたの努力の結晶であるコードリポジトリや、ソフトウェアの企業秘密だとしたらどうでしょうか。少なくとも392名（現時点）のGitHub、Bitbucket、GitLabのユーザーが今週、この悪夢のような通知を受け取りました。さらに悪いことに、彼らのコードは攻撃者によってダウンロードされた後にリポジトリから削除され、身代金を要求されています。被害を受けたユーザーのファイルはすべて消去され、代わりに以下のメッセージが記されたテキストファイルだけが残されていました。

他の多くのニュースで取り上げられる企業への侵害（およびGitHubへの過去の攻撃）とは異なり、今回はプラットフォーム側のバグが原因ではありませんでした。アカウント情報が平文で安全でない状態で保存されており、サードパーティのリポジトリ管理サービスから流出した可能性が高いと見られています。開発者が重要なパスワードを不適切に保存し、複数の重要なアカウントで同じ認証情報を使い回していたことが大きな要因です。

犯人グループはプログラミングの世界で最も優秀な層というわけではないようです。（執筆時点で）身代金を支払ってコードを復旧させたユーザーは一人もおらず、セキュリティに精通した有志が、被害者が削除されたコードを復旧するための回避策をすでに見つけ出しています。

とはいえ、この事件はセキュリティ業界で長年知られている問題を浮き彫りにしました。それは、多くの開発者がセキュリティ意識を十分に持っておらず、ハッキングの天才でなくとも、貴重なデータが常に危険にさらされているという現実です。

なぜパスワード管理は一向に改善されないのでしょうか？

人間は不完全な存在であり、楽をしたいと考えるものです。同じユーザー名とパスワードを使い回す方が手間はかかりませんし、メールにアクセスするたびに「Z7b3#!q0HwXxv29!」のような複雑な文字列を入力するより、飼っていたペットの名前を覚える方がはるかに簡単です。しかし、大規模なサイバー攻撃が絶えず発生している現在、開発者はもっと危機感を持つべきです。

GitHubの公式アドバイスは非常に明確で、二要素認証を導入し、安全なパスワードマネージャーを使用していれば、この身代金攻撃は防げたはずだと指摘しています。これは全くその通りですが、繰り返し述べているように、教育をさらに強化する必要があるのは明らかです。すべての開発者は、なぜ特定の行動がアカウントを攻撃に対して脆弱にするのか、その根本的な理由を理解しなければなりません。

教育は魔法の薬か？

セキュリティに精通したエンジニアは、単純なセキュリティ設定の不備が壊滅的な結果を招くことを理解しています。今回のGitHubへの攻撃においても、設定ミスが攻撃者に悪意のあるスキマーを注入させ、重要な鍵を奪われるきっかけとなったようです。

機密データの露出も克服すべき重大な脆弱性であり、OWASP Top 10でも依然として第3位にランクインしています。パスワードを平文で保存することは、その危険性を理解していない証拠であり、ブルートフォース攻撃によっていかに簡単にシステムが侵害されるかを示しています。

暗号化（特に暗号化されたストレージ）を理解することは、堅牢なセキュリティでコードベースのパスワードを管理するために不可欠な要素です。保存するパスワードにソルトを加えてハッシュ化し、一意性を強制することで、今回のような身代金要求事件が発生する可能性を大幅に低減できます。

セキュリティに対する私たちの集団的な姿勢を変えることが重要です。開発者への適切な教育を重視し、サイバー脅威のリスクを真剣に受け止める必要があります。セキュリティを学ぶことを前向きでやりがいのある体験に変えていくことこそが、すべての開発者が自身の仕事を評価する際の基準を引き上げるための基本になると私は考えています。

ここで取り上げた脆弱性を克服するスキルを試してみませんか？Secure Code Warriorで関連するチャレンジに今すぐ挑戦できます。

• セキュリティ設定の不備
• 安全でない暗号化ストレージ
• 機密データの露出