EmeraldWhaleの.git/.env認証情報スクレイピング、約2年経過しても継続中
EmeraldWhaleと呼ばれる犯罪グループが、公開された.gitディレクトリや.envファイルから認証情報をスクレイピングする活動を約2年にわたり継続している。これらのファイルは誤って公開されたサーバー上に残されており、攻撃者はAWSキーやデータベース認証情報などを収穫。防御策として、.gitディレクトリへのアクセス制限や.envファイルの適切な管理が重要とされている。
背景メモ
EmeraldWhaleは少なくとも2023年から活動するブルートフォース型の攻撃グループで、世界中のWebサーバーから露出した「.git」フォルダや「.env」ファイルを自動スキャンで収集している。.envにはAWSキー・DBパスワード・APIトークンなどが平文で残っているケースが多く、.gitからは過去の全コミット履歴を取得できる。Honeylabsの調査によれば、このキャンペーンは2年近く経った現在も活発で、窃取した資格情報はTelegramボット経由で整理・販売されている。根源的な問題は、開発者が本番環境に機密情報を誤って配置したままgit管理下に置き、かつサーバーのアクセス制御（.htaccess等）を怠ることにある。類似の手口としては2022年にUkraineで大規模被害が出た「RaccoonStealerキャンペーン」があるが、EmeraldWhaleは長期運用と自動化の徹底で一線を画す。