OktaのGitHubリポジトリに不正アクセス ソースコード流出による影響は？

BleepingComputerは、IDaaSベンダーOktaのGitHubリポジトリが不正アクセスを受けて、ソースコードが不正コピーされたと伝えた。

[後藤大地，有限会社オングス]

　コンピュータ情報サイトの「Bleeping Computer」は2022年12月21日（現地時間）、IDaaS（IDentity as a Service）ベンダーであるOktaのプライベートな「GitHub」リポジトリが何者かによって不正アクセスを受けたと伝えた。

Bleeping Computerは、OktaのプライベートなGitHubリポジトリが何者かによって不正アクセスを受けたと伝えた（出典：Bleeping ComputerのWebサイト）

不正アクセスが与える顧客への影響は？

　BleepingComputerによると、GitHubはOktaのプライベートなGitHubリポジトリに疑わしいアクセスがあることをOktaに通知し、調査の結果、ソースコードが不正コピーされたと結論付けた。本稿執筆時点で、どのソースコードが不正コピーされたのかといった正確な情報は公開されていない。

　報告によると、ソースコードの不正コピーは実行されたものの、サイバー攻撃者によるOktaサービスや顧客データへの不正アクセスは確認されなかった。Oktaは同社のサービスについて「保護手段としてソースコードの機密性に依存するものではない」とし、「顧客側で明示的な操作をする必要もない」と説明している。

　なお、不正アクセス判明後のOktaのアクションは以下の通りだ。

• 不正アクセスが疑われるという通知を受けてからすぐにGitHubリポジトリへのアクセスを一時的に制限した。サードパーティー製アプリケーション及び全てのGitHub統合を一時的に停止した
• GitHubでホストされている全てのOktaリポジトリへの最近のアクセスをチェックするとともに、資格情報のローテーションを実施した
• 法執行機関に通知を実施した
• 不正コピーされたとみられるソースコードを使用してのアクセスができないように措置を実施した

　BleepingComputerによれば、Oktaは同社のブログを通じて声明を発表する予定だ。同社のサービスを使用している場合、Oktaからの正式発表を待ちその内容を確認してほしい。