チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「GitHubトークンが盗まれただけでコードベース全体が抜かれるって、どういうこと？」
「Pwn Requestって脆弱性、自社のGitHub Actionsにもありそうで心配…」
チップスボス、Grafana Labsがコードベースをまるごと盗まれたって本当でしゅか？ 大きな話でしゅ…
ボスうむ、5月16日にGrafana Labsが公表した。原因はGitHub Actionsの「Pwn Request」型ワークフロー欠陥で、トークン回転の漏れから侵害に至った。
本記事ではGrafana Labsのソースコード窃取事案と、原因となった「Pwn Request」型GitHub Actionsの脆弱性、自社GitHub環境で取るべき対策を解説します。
OSSベンダーに限らず、CI/CDで外部PRを処理するすべての組織が確認すべき内容です。
続きを読めば、Pwn Request型欠陥の見極め方と、トークン管理の落とし穴、現実的な恐喝対応の指針が分かります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
GitHub Actionsには、外部コントリビューターからのPRを安全に扱う仕組みがあります。
その仕組みを誤って使うと、外部の人が本番秘密にアクセスできる状態を作ってしまいます。
事案の発端は、新たに導入されたGitHub ActionワークフローでのPwn Request型脆弱性です。
pull_request_targetイベントは、PR作成元（外部のフォーク）が信頼できない場合でも本リポジトリの秘密にアクセスできる仕組みで、設定を誤ると外部コントリビューターにシークレットを渡してしまいます。
Grafana Labsはこの不具合を検知してGitHubワークフロートークンの多くを回転させましたが、1つだけ漏れた古いトークンが攻撃者の手に渡り、リポジトリ全体のダウンロードを許しました。
事案の主要な事実関係はこちらです。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年5月16日（Grafana Labs） |
| 原因 | GitHub Actionsの「Pwn Request」型ワークフロー脆弱性 |
| 影響範囲 | GitHub環境内のソースコード（公開・非公開リポジトリ） |
| 顧客本番環境 | 影響なしと発表 |
| 主張する攻撃集団 | CoinbaseCartel（ShinyHunters／Scattered Spider／LAPSUS$系統） |
Grafana Labsは、社内に大量のカナリアトークン（おとり用の偽トークン）を仕込んでおり、攻撃者がそれを使った瞬間にグローバルセキュリティチームへアラートが届く設計でした。
結果として侵害発生から短時間で検知に成功し、被害範囲をGitHub環境内に封じ込められた点は評価に値します。
本番システムへの横展開を防いだのは、こうした「ハニートークン的な仕組み」と、トークン分離の運用が機能したためです。
チップスカナリアトークンって便利でしゅね！ おとりを仕込んでおくと侵害がすぐ分かるんでしゅか。
ボスうむ、コストも低い割に効果が高い。GitHub・S3・KMSなどに撒いておくのが定石だ。
Grafana Labsの事案は、技術的な原因も対処方針も学びの多い内容です。
同種の侵害を避けるために、現実的な手を整理しましょう。
pull_request_targetイベントを使うワークフローは、外部コントリビューターのコードを取り込んで実行する設計になっていないかを再点検する必要があります。
該当する場合は、外部から渡されたコードを「実行せず」「内容だけ確認する」フローへ作り直すべきです。
GITHUB_TOKEN以外の長期秘密（Personal Access TokenやServiceアカウント）を使っている箇所は、最小権限の見直しと定期回転を機械的に行う仕組みに置き換えるのが安全です。
運用に組み込むべき点を整理します。
Grafana Labsは身代金の支払いを拒否し、「データが本当に削除される保証はなく、将来の攻撃を呼び込む契機にもなる」と公開で説明しました。
こうした姿勢は、平時から「支払わない」方針と説明責任の枠組みを合意しておかなければ、いざという時に取れません。
法務・広報・セキュリティを巻き込んだ意思決定プロトコルを事前に文書化し、定期的に演習しておく価値があります。
チップス「払いません」って即答できる体制って、なかなか難しそうでしゅね…
ボスうむ、判断のスピードが企業姿勢を決める。事前の合意が、当日の判断を支える。
Grafana Labsのケースは、OSSベンダーだから起こったというよりも、CI/CDが現代の攻撃面であることを改めて示しました。
自社で取るべき行動を整理します。
チップスCI/CDも守るべき情報資産って意識を持たなきゃでしゅね！
ボスうむ、コードはビジネスそのものだ。雑に扱えば失う。
詳しい情報はBleepingComputerの報道とGrafana Labsの公式声明を参照してください。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
