GitHubにうっかり公開された認証情報54万件以上が有効なまま放置されていることが判明

この記事についての感想

マジで震える。GitHubに認証情報が54万件以上も放置されてるって、もはやホラー映画より怖いんですけど。しかも『有効なまま』ってのが一番やばい。これ流出した瞬間に世界中のクラッカーたちが草生やしながら群がってくる未来しか見えないよ。エンジニアなら一度はヒヤッとした経験あると思うけど、うっかりプッシュしちゃったコードが公開設定になってて、そのまま忘却の彼方に…っていうのは本当によくある事故なんだよね。でも54万件は規模が違いすぎる。最近はAIがコードの脆弱性を瞬時に見つける時代だし、こういう放置された認証情報なんてAIツールで秒でスキャンされるに決まってるじゃん。情弱ムーブとか言ってる場合じゃなくて、ガチのセキュリティ事故に直結する。GitHubのリポジトリ設定ミスは本当に命取り。昔からある『鍵を部屋の前に置く』どころの騒ぎじゃない、玄関のドア全開で札束並べてるようなもんでしょこれ。企業のリポジトリ管理が甘いのか、個人がテスト環境でやらかしてるのかは分からないけど、流出した情報がダークウェブで売買されてるかと思うと夜も眠れないレベル。この規模だと、どこかの巨大企業の基盤がごっそりやられてもおかしくないし、サプライチェーン攻撃の踏み台にされたら被害総額は計り知れない。公開リポジトリのスキャンツールを導入してない企業なんて、今の時代、素っ裸で戦場に出てるようなもん。このニュースを見て『あ、自分は大丈夫』って思ってるやつが一番危険だからね。一回自分の過去のリポジトリを全部洗い直したほうがいい。公開していいデータとダメなデータを分けるっていう基本の『き』ができてないのが今のIT業界の現実だと思うと、本当に背筋が凍る思いだよ。セキュリティ対策は金がかかるからって後回しにすると、結局こういう形で倍以上の代償を払うことになるんだよね。とりあえずGitHubのアクセス権限の見直しと、コミット前のクレデンシャルスキャンは現代エンジニアの必須スキルとして義務教育に入れるレベルで啓蒙していくしかないでしょ。