【要点】
◎「Megalodon」攻撃により、5,561件のGitHubリポジトリへ悪意あるコミットが注入された。GitHub Actionsを悪用した大規模認証情報窃取が確認された
【要約】
2026年5月18日、「Megalodon」と呼ばれる大規模GitHub汚染キャンペーンが発生し、約6時間で5,561リポジトリへ5,718件の悪意あるコミットが投入された。攻撃ではGitHub Actionsワークフローを悪用し、AWSシークレット、Google Cloudトークン、SSH鍵、Docker・Kubernetes設定、TerraformやVault認証情報など多数の機密情報を窃取していた。SafeDepとOX Securityによれば、攻撃はオープンソースチャットボット基盤Tiledeskにも波及し、悪意あるnpmパッケージが公開された。手口は先行する「TeamPCP」攻撃に類似しているが、同一犯かは未確認であり、新たな模倣型サプライチェーン攻撃として警戒が強まっている。
【ニュース】
◆GitHub大規模汚染「Megalodon」、5,561リポジトリに悪意あるコミット ─ TiledeskやTeamPCP模倣の脅威 (InnovaTopia, 2026/05/25 07:57)
https://innovatopia.jp/cyber-security/cyber-security-news/105250/
