GitHub Issue 通知を悪用するキャンペーン：悪意の OAuth アプリを介して開発環境を侵害

Hackers Abuse GitHub Issue Notifications to Phish Developers Through Malicious OAuth Apps

2026/04/21 CyberSecurityNews — GitHub の通知システムを悪用して、悪意の OAuth アプリへの認可リクエストを配信する高度なフィッシング手法を、セキュリティ研究者たちが発見した。この攻撃では、GitHub の信頼されたインフラが悪用されるため、被害者による正規のセキュリティ・アラートとの識別が困難であり、きわめて危険である。

いまのサイバー犯罪者にとって、最も価値の高い標的の一つが開発者である。なぜなら、開発者が作成／管理するものには、アプリケーション／CI/CD パイプライン／本番サーバを支えるコードがあるからだ。

したがって、開発者アカウントが侵害されると、攻撃者はソースコード／プライベートリポジトリ／自動化ワークフローへの直接アクセスを取得し、ソフトウェア・サプライチェーンに対して悪意のコード注入を可能にする。

週 1 億ダウンロードを誇る Axios や LiteLLM といったプロジェクトに対するサプライチェーン攻撃が、この種の侵害の深刻さを示している。

GitHub 上の開発者を標的とする、初期アクセス手法の調査中に、Atsika のアナリストが今回のフィッシング・キャンペーンを特定した。彼らが指摘するのは、この攻撃者は一般的な Attacker-in-The-Middle 手法に依存せずに、GitHub の組み込み issue 通知機能を悪用する点である。

この機能により、issue 本文で言及されたユーザーに対して自動的にメールが送信される。つまり、GitHub の no-reply アドレスから開発者の受信トレイへ、直接フィッシング内容が送信される。

このキャンペーンを展開する攻撃者にとって、コストゼロで攻撃を実行できるという別のメリットもある。攻撃者が必要とするのは、無料の GitHub アカウント／悪意の OAuth アプリ／無料のホスティング・サーバのみである。

今回の脅威アクターは、公式のセキュリティ・サービスを装う偽の GitHub アカウントを作成し、説得力のある表示名および偽のリポジトリを用意している。

続いて、MalGitApp と名付けられた OAuth アプリ (PoC) を作成し、公開および非公開リポジトリへの完全な読み書き／GitHub Actions ワークフローへのアクセス／ユーザーのメールやプロファイル・データへのアクセスといった危険な権限を要求する。

受信した通知メール内のフィッシング・リンクをクリックする開発者は、正規の GitHub 認可ページへと遷移させられる。開発者が、このページに表示される要求権限を承認すると、有効なアクセス・トークンが攻撃者により取得される。

このトークンにより攻撃者が取得できる権限には、リポジトリのクローン／バックドアコードのプッシュ／自動化ワークフローとの連携があるため、被害者の GitHub アカウントに対する部分的な制御が窃取されることになる。

TOCTOU 脆弱性が攻撃を成立させる仕組み

Atsika の研究における技術的に重要な発見の一つには、GitHub 通知システムに存在する Time-of-Check to Time-of-Use (TOCTOU) 競合状態がある。攻撃者がターゲット・ユーザーをメンションする issue を投稿し、メール通知を発生させた直後の 2〜3 秒以内に、issue 内容の編集／削除が可能なことを、研究者たちは確認している。

GitHub はオリジナルの内容ではなく、最新バージョンに基づいてメールを送信するため、ターゲットには完成されたフィッシング・メッセージが届く一方で、リポジトリ上の issue が空白になるケースや、”Loading error” のような無害なタイトルとして表示されるケースがある。

この手法により、フィッシング内容の追跡はほぼ不可能となる。すべての履歴が削除可能であるためだ。

さらに、検知を回避する攻撃者は、リンク短縮サービスを用いてフィッシング URL を隠蔽する。GitHub が、OAuth 認可 URL を直接取り込むリンクに対して、不審フラグを立てるためである。

それに加えて、攻撃者は “GH-Security/alert” のような名称を使用し、公式通知を模倣するアカウント／リポジトリ名を作成することで、メール件名を信頼できるものに見せかける。

開発者および組織は、以下の対策を実施すべきである：

• OAuth アプリの “Authorize” をクリックする前に、要求される権限を必ず確認する。特に予期しないメールからのリクエストに注意する。
• GitHub アカウント設定で、承認済み OAuth アプリを定期的に監査し、不審なアプリを取り消す。
• 即時対応を促す通知メール／セキュリティ・インシデントを主張するメール／外部認可ページへのリンクを含むメールに注意する。
• 公開リポジトリにおいて、issue 作成やメンションできる範囲を制限し、リポジトリ・アクセスを制御する。
• GitHub のセキュリティ・アラートを有効化し、アクセス・トークンの使用状況を監視して不正利用を早期検知する。

正規のセキュリティ・ツールが、未承諾のメール通知を通じてリポジトリへの完全アクセスを要求することは決してない点を、開発者は認識すべきである。

訳者後書：GitHub の信頼性を逆手に取る、きわめて巧妙なフィッシング手法を紹介する記事です。この攻撃が成立する根本的な原因は、GitHub の通知システムに存在する TOCTOU の脆弱性にあります。具体的には、攻撃者が投稿した悪意ある内容を通知メールとして送信する直前に、リポジトリ上の形跡を消去したり、無害な内容に書き換えたりできるため、開発者が正規の通知と信じ込んでしまうという問題が生じている。この仕組みを悪用する攻撃者が、不正な OAuth アプリへの連携を促し、リポジトリの操作権限を奪い取るというキャンペーンが展開されています。ご利用のチームは、ご注意ください。よろしければ、OAuth での検索結果も、ご参照ください。