サプライチェーンの依存関係: GitHub 接続がトリガーする可能性があるもの from securityboulevard.com

ユーザー名とパスワードのクレデンシャルが保護されるのと同様に、企業はこれまで以上に人間以外の接続、つまり API キーとアクセストークンを保護する必要があります。
CircleCI の侵害は、ハッカーがこれらの安全でない接続を利用して企業の GitHub 環境を侵害する一連の攻撃の最新のものです。
おそらく最も悪名高い攻撃は、2021 年の Codecov 侵害で、攻撃者は Codecov クラウドサービスを侵害し、17,000 の CodeCov 顧客の GitHub リポジトリへの直接アクセスを提供する OAuth トークンを盗みました。
これらすべてのケースで、脅威アクターはデータにアクセスするために権限を昇格させ、従業員が生成した API キーと個人用アクセストークンを使用して、組織の GitHub 環境をサードパーティアプリや内部アプリやワークフローに接続しました。
GitHub 接続
上記の攻撃は、これらの GitHub と構造化されていない接続が、サプライチェーンの依存関係のまったく新しい世界にいかに迅速かつ簡単につながる可能性があるかを示しています。