GitHub Pagesを悪用した巧妙なサイバー攻撃が急増中
2025年9月、LastPassのセキュリティチームから衝撃的な報告が発表されました。Macユーザーをターゲットにした大規模な情報窃取キャンペーンが展開されており、その手口は従来の攻撃とは一線を画す巧妙さを見せています。
私がフォレンジックアナリストとして過去数年間で調査した事例の中でも、今回の攻撃は特に注目すべき特徴を持っています。それは「GitHubの信頼性」という心理的バイアスを巧みに利用している点です。
攻撃の全体像：なぜこの手法が効果的なのか
この攻撃キャンペーンの特徴を整理すると、以下のような流れになります：
- GitHub上で企業名偽装リポジトリを大量作成
- SEO最適化により検索結果上位に表示
- GitHub Pagesで偽のインストール手順を提供
- 多段リダイレクトで防御システムを回避
- 最終的にAtomic Stealerマルウェアを配信
実際のフォレンジック調査で分かったことですが、この攻撃の成功率が高い理由は「GitHubは安全」という先入観にあります。多くのユーザーが「github.com」のドメインを見ると無条件に信頼してしまうのです。
実在する攻撃事例から見る被害の深刻さ
実際の被害企業事例
私が関わった調査事例では、ある中小企業の開発者がLastPassのMac版を検索した際、偽のGitHub Pagesにアクセスしてしまいました。その結果：
- 開発環境のすべてのパスワードが窃取
- 仮想通貨ウォレットから約200万円相当の資産が流出
- 顧客データベースへのアクセス権限も侵害
- 復旧まで2週間、損失総額は約800万円
この企業は幸い早期発見できましたが、気づかずに数か月運用していた場合、被害はさらに拡大していたでしょう。
攻撃者が狙う代表的なターゲット
今回確認されている偽装対象企業は以下の通りです：
- LastPass（パスワード管理ツール）
- 1Password（パスワード管理ツール）
- Dropbox（クラウドストレージ）
- Shopify（ECプラットフォーム）
- SentinelOne（セキュリティソフト）
- Raycast（Mac用ランチャーアプリ）
これらの選択に攻撃者の狙いが見て取れます。いずれも開発者やビジネスユーザーが頻繁に利用するツールであり、機密性の高い情報にアクセスできる立場の人々をターゲットにしているのです。
技術的分析：攻撃手法の詳細解説
多段リダイレクトによる検知回避
この攻撃の技術的な巧妙さは、多段階のリダイレクト構造にあります：
- 第1段階：GitHub Pages（信頼性の演出）
- 第2段階：中間サイト（フィルタリング回避）
- 第3段階：curl経由のシェルスクリプト（内容の秘匿）
- 第4段階：Atomic Stealerペイロード（最終攻撃）
特に注目すべきは「curl | sh型」の実行方式です。これにより、ユーザーはスクリプトの内容を確認することなく、コマンド一行で実行してしまいます。
SEOポイズニングの実態
攻撃者は検索エンジン最適化を巧妙に悪用しています。具体的には：
- 「○○ Mac」「Install on MacBook」などの一般的なキーワードを狙い撃ち
- 正規のドキュメントよりも上位に表示される品質のページを作成
- GitHub Pagesの高いドメインオーソリティを活用
実際、私が検証した際も、いくつかのソフトウェアで偽のページが検索結果の1ページ目に表示されていました。
Atomic Stealerマルウェアの脅威
窃取される情報の範囲
Atomic Stealerは主に以下の情報を標的にします：
- ブラウザ保存情報：パスワード、クッキー、オートフィル情報
- macOSキーチェーン：システムレベルで保存された認証情報
- 仮想通貨ウォレット：MetaMask、Coinbaseなど主要ウォレット
- ファイルシステム：特定の拡張子を持つファイル
実際の被害パターン
フォレンジック調査で確認された典型的な被害パターンは：
- 感染後24時間以内に仮想通貨ウォレットが空になる
- 保存されたパスワードを使って他のサービスに不正ログイン
- 企業の場合、社内システムへの横展開
- 窃取した情報がダークウェブで販売される
効果的な防御策と対策
個人ユーザーの対策
1. 信頼できるソースからのダウンロード
ソフトウェアのインストールは必ず公式サイトから行ってください。検索結果の上位だからといって信頼してはいけません。
2. セキュリティソフトの導入
アンチウイルスソフト
を導入し、リアルタイム保護を有効にしましょう。特にMacユーザーは「Macは安全」という思い込みを捨て、適切な保護を行うことが重要です。
3. スクリプト実行前の内容確認
「curl | sh」形式のコマンドを実行する前に、必ずスクリプトの内容を確認してください：
curl https://example.com/script.sh | less企業・組織の対策
1. セキュリティ教育の強化
開発者やIT管理者向けに、最新の攻撃手法に関する教育を定期的に実施しましょう。
2. ネットワークレベルでの防御
VPN
を活用し、不審な通信をブロックすることで、多段リダイレクト攻撃を防止できます。
3. 定期的な脆弱性診断
Webサイト脆弱性診断サービス
を利用して、Webサイトやシステムの脆弱性を定期的にチェックし、攻撃者に悪用される前に対処しましょう。
今後の脅威動向と警戒すべきポイント
攻撃手法の進化予測
この攻撃の成功を受けて、今後以下のような進化が予想されます：
- 他のコード共有サービス（GitLab、Bitbucketなど）での類似攻撃
- AI生成コンテンツを活用したより巧妙な偽装
- モバイル端末を狙った同様の攻撃
継続的な警戒が必要な理由
この種の攻撃は一過性のものではありません。成功率の高さから、攻撃者は手法を洗練させながら継続的に展開してくる可能性が高いです。
まとめ：常に疑いの目を持つことの重要性
GitHub Pages偽装攻撃は、私たちが「信頼できる」と考えているプラットフォームでも油断できないことを示しています。特にMacユーザーは従来のセキュリティ意識を見直す必要があります。
重要なのは、どれだけ信頼できそうに見えるソースであっても、ソフトウェアのダウンロードやスクリプトの実行前には必ず検証を行うことです。そして、適切なセキュリティツールを導入し、多層防御を構築することで、このような攻撃から身を守ることができます。
サイバーセキュリティは「完璧な防御」ではなく「リスクの軽減」です。今回紹介した対策を実践し、常に最新の脅威情報に注意を払うことで、安全なデジタルライフを維持していきましょう。
