チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「GitHubトークンが盗まれただけでコードベース全体が抜かれるって、どういうこと？」
「Pwn Requestって脆弱性、自社のGitHub Actionsにもありそうで心配…」
チップスボス、Grafana Labsがコードベースをまるごと盗まれたって本当でしゅか？ 大きな話でしゅ…
ボスうむ、5月16日にGrafana Labsが公表した。原因はGitHub Actionsの「Pwn Request」型ワークフロー欠陥で、トークン回転の漏れから侵害に至った。
本記事ではGrafana Labsのソースコード窃取事案と、原因となった「Pwn Request」型GitHub Actionsの脆弱性、自社GitHub環境で取るべき対策を解説します。
OSSベンダーに限らず、CI/CDで外部PRを処理するすべての組織が確認すべき内容です。
続きを読めば、Pwn Request型欠陥の見極め方と、トークン管理の落とし穴、現実的な恐喝対応の指針が分かります。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
GitHub Actionsには、外部コントリビューターからのPRを安全に扱う仕組みがあります。
その仕組みを誤って使うと、外部の人が本番秘密にアクセスできる状態を作ってしまいます。
事案の発端は、新たに導入されたGitHub ActionワークフローでのPwn Request型脆弱性です。
pull_request_targetイベントは、PR作成元（外部のフォーク）が信頼できない場合でも本リポジトリの秘密にアクセスできる仕組みで、設定を誤ると外部コントリビューターにシークレットを渡してしまいます。
Grafana Labsはこの不具合を検知してGitHubワークフロートークンの多くを回転させましたが、1つだけ漏れた古いトークンが攻撃者の手に渡り、リポジトリ全体のダウンロードを許しました。
事案の主要な事実関係はこちらです。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年5月16日（Grafana Labs） |
| 原因 | GitHub Actionsの「Pwn Request」型ワークフロー脆弱性 |
| 影響範囲 | GitHub環境内のソースコード（公開・非公開リポジトリ） |
| 顧客本番環境 | 影響なしと発表 |
| 主張する攻撃集団 | CoinbaseCartel（ShinyHunters／Scattered Spider／LAPSUS$系統） |
Grafana Labsは、社内に大量のカナリアトークン（おとり用の偽トークン）を仕込んでおり、攻撃者がそれを使った瞬間にグローバルセキュリティチームへアラートが届く設計でした。
結果として侵害発生から短時間で検知に成功し、被害範囲をGitHub環境内に封じ込められた点は評価に値します。
本番システムへの横展開を防いだのは、こうした「ハニートークン的な仕組み」と、トークン分離の運用が機能したためです。
チップスカナリアトークンって便利でしゅね！ おとりを仕込んでおくと侵害がすぐ分かるんでしゅか。
ボスうむ、コストも低い割に効果が高い。GitHub・S3・KMSなどに撒いておくのが定石だ。
Grafana Labsの事案は、技術的な原因も対処方針も学びの多い内容です。
同種の侵害を避けるために、現実的な手を整理しましょう。
pull_request_targetイベントを使うワークフローは、外部コントリビューターのコードを取り込んで実行する設計になっていないかを再点検する必要があります。
該当する場合は、外部から渡されたコードを「実行せず」「内容だけ確認する」フローへ作り直すべきです。
GITHUB_TOKEN以外の長期秘密（Personal Access TokenやServiceアカウント）を使っている箇所は、最小権限の見直しと定期回転を機械的に行う仕組みに置き換えるのが安全です。
運用に組み込むべき点を整理します。
Grafana Labsは身代金の支払いを拒否し、「データが本当に削除される保証はなく、将来の攻撃を呼び込む契機にもなる」と公開で説明しました。
こうした姿勢は、平時から「支払わない」方針と説明責任の枠組みを合意しておかなければ、いざという時に取れません。
法務・広報・セキュリティを巻き込んだ意思決定プロトコルを事前に文書化し、定期的に演習しておく価値があります。
チップス「払いません」って即答できる体制って、なかなか難しそうでしゅね…
ボスうむ、判断のスピードが企業姿勢を決める。事前の合意が、当日の判断を支える。
Grafana Labsのケースは、OSSベンダーだから起こったというよりも、CI/CDが現代の攻撃面であることを改めて示しました。
自社で取るべき行動を整理します。
チップスCI/CDも守るべき情報資産って意識を持たなきゃでしゅね！
ボスうむ、コードはビジネスそのものだ。雑に扱えば失う。
詳しい情報はBleepingComputerの報道とGrafana Labsの公式声明を参照してください。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
