GitHubの防御をすり抜け、盗んだトークンで秘密情報を吸い上げる「Gheist」作戦

Gheist campaign plants secret-dumping workflows using stolen GitHub tokens

Wiz Researchは2026年9月15日以降、盗まれたGitHubトークンを大規模に悪用する「Gheist」を追跡している。各リポジトリにsync-checkというワークフローを仕込み、シークレットをログに出力させた直後にGitHub API経由で取得・削除する手口だ。850以上のアカウントから13,500超のブランチを確認。公開リポジトリではGitHubの承認保留機能が機能したが、プライベートリポジトリやEnterprise環境では実行に成功し、AWS Secrets Managerの列挙まで進んだ事例もあった。