Giteeの公開コードから有効な認証情報26,400件―AI・クラウドの鍵も

研究者のBen Zimmermann氏は2026年10月28日、コード共有サービスGiteeの公開リポジトリ7,256,531件から、検査時に有効だった認証情報26,400件を見つけたと報告しました。MongoDBのKingfisherチームと共同でまとめた調査で、Giteeのサーバーが侵害されたという発表ではありません。

対象はクラウドやAIサービスなどの鍵で、同じ鍵が複数の場所にあっても1件と数えています。現在のファイルだけでなくコミット履歴も走査するため、後で削除された情報も検出対象です。有効性は検査時点の結果で、公開日にも全件が使えたことや、不正利用の発生を示す数字ではありません。

調査ではTruffleHogとKingfisherを併用し、両方が見つけた認証情報は1,001件でした。対応するサービスや検出方式が異なるため、単一ツールの検査結果だけでは利用サービスを十分にカバーできない場合があります。

研究者は露出の多いサービス提供元へ報告しましたが、公表時点で鍵の失効は確認できていません。当社では、開発担当者が自社リポジトリの履歴を確認し、公開した鍵を提供元で失効・再発行することを勧めます。コードの削除だけで終えず、アプリの差し替えと利用ログ・請求の確認まで進めます。