Circle Internet Servicesはこのほど、「CircleCI security alert: Rotate any secrets stored in CircleCI (Updated Jan 13)」において、2022年12月に発生したセキュリティインシデントに関する詳細なレポートを公開した。CircleCIエンジニアのラップトップがマルウェアに感染し、二要素認証(2FA: Two-Factor Authentication)で保護されたシングルサインオンのセッションが不正な第三者に窃取されていたことが明らかとなった。

  • CircleCI security alert: Rotate any secrets stored in CircleCI (Updated Jan 13)

    CircleCI security alert: Rotate any secrets stored in CircleCI (Updated Jan 13)

CircleCIに対する侵害によりデータが流出していたことがわかった。侵入に成功したマルウェアは同社のウイルス対策ソフトウェアでは検出されなかったという。またどのように侵入されたかは説明されていない。このマルウェアはセッションCookie(認証トークン)を窃取できるよう設計され、ターゲットになりすまして同社の本番システムのサブセットへのアクセスを拡大することができたとのことだ。

さらに、被害を受けたエンジニアが本番用のアクセストークンを生成する権限を有していたため、脅威者は顧客の環境変数、トークン、キーなどデータベースおよびストアのサブセットにアクセスしてデータを流出させることもできたと報告。実際に同社のデータの流出が発生していたことも確認されている。

同社はこのセキュリティインシデントの発覚後、アンチウイルスおよびモバイルデバイス管理システムに振る舞い検知機能を追加するとともに、インフラの改善を進めているという。本番環境へのアクセスを制限し、二要素認証の実装の安全性を高めたことも伝えている。