Sysdig脅威調査チームは、グローバルな攻撃オペレーションEMERALDWHALEを発見しました。このオペレーションでは、誤って構成されたWebサービスを悪用し、Git構成ファイルをターゲットにして認証情報を盗んだり、プライベートリポジトリを複製しました。10,000以上のプライベートリポジトリの認証情報が収集され、盗まれたデータはS3バケットに保存されていました。

攻撃者は、フィッシングやスパムを主な目的として認証情報を悪用し、収益化の一環としてターゲットリストを販売することが可能でした。この事例は、単にシークレット管理だけでは不十分であり、認証情報の漏洩可能性が多数存在することを示しています。Sysdigはこの認証情報の漏洩と悪用を初めて検出し、関連するS3バケットをAWSに報告し、削除させました。

この攻撃は、開発者の間で広く使われているGitの脆弱性を利用しており、Webサーバーの設定ミスによる.gitディレクトリの公開が原因で、リポジトリの機密情報が攻撃者に露呈することとなりました。このような攻撃から保護するためには、認証情報に関連するIDの動作を監視し、エクスポージャーマネジメントや脆弱性スキャナーを活用することが重要です。