Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

メルカリが不正アクセス被害 - 開発ツール「Codecov」侵害の影響で

不正アクセスを受ける原因となった「Codecov」は、開発元のCodecovが侵害され、1月31日以降、攻撃者によって繰り返しスクリプトが改ざんされており、同スクリプトが稼働する継続的インテグレーション環境(CI環境)では、認証情報やトークン、ソースコードなどを窃取される状態となっていた。

20210521_me_001.jpg
攻撃の流れ(図:メルカリ)

メルカリにおいても、「Codecov」のスクリプトが改ざんされた1月31日以降に数回、さらに4月13日から4月18日にかけて、CI環境が集中的に不正アクセスを受けていたという。

「Codecov」が不正アクセスを把握したのは4月1日、影響を受けるユーザーにメールで通知したのは4月15日になってからで、これを受けて同社でも4月16日より認証情報の初期化など対応に取りかかっていたが、実際はそれ以前や通知直前にも不正アクセスが行われていたことになる。

同社が不正アクセスを把握したのは4月23日で、GitHubより通知があり、CI環境より窃取された認証情報を用いて、ソースコード管理サービス「GitHub」上に格納されていた同社のソースコードに対して不正アクセスが行われていたことが判明した。

また調査の過程で、4月27日に不正アクセスされたソースコード上に、同社では本来保存しないルールとなっている顧客情報が含まれていることも明らかになった。

(Security NEXT - 2021/05/21 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

Oracle、四半期定例パッチを公開 - 脆弱性のべ342件を修正
「Windows」に権限昇格のゼロデイ脆弱性 - MSが詳細を調査
Linuxカーネルにroot権限を取得できる脆弱性 - 1Gバイト超のパス長処理で
「Citrix ADC」や「Citrix Gateway」に複数脆弱性 - 認証回避のおそれ
Adobeの複数製品に深刻な脆弱性 - 定例外でパッチ公開
「FortiManager」「FortiAnalyzer」に脆弱性 - root権限でコード実行のおそれ
Apple、macOSやスマートデバイス向けにセキュリティ更新
Windowsの「ポイントアンドプリント」にゼロデイ脆弱性 - PoC公開済み
MS、「PrintNightmare」に追加パッチを準備中 - LPEで別のCVE番号を採番
「PrintNightmare」の定例外パッチ、修正が部分的との指摘も