GitHub 爆 Megalodon 大規模自動化攻擊 六小時推送近 6,000 筆惡意提交

程式碼託管平台 GitHub 爆發名為「Megalodon」的大規模自動化攻擊事件，在短短 6 小時內推送近 6,000 筆惡意提交，影響超過 5,500 個儲存庫。此事件不僅是 GitHub 近年規模最大的安全事件之一，也揭示開源軟體生態系面臨的全新規模化供應鏈攻擊威脅，可能影響全球無數依賴開源套件的企業與開發者。

Megalodon 攻擊的技術特性與過往的供應鏈攻擊有顯著不同。傳統供應鏈攻擊多針對單一熱門套件（如 SolarWinds、Log4j 漏洞利用、Node.js 套件挾持等），透過深度滲透與精心植入惡意程式碼來最大化單一目標的影響。Megalodon 則採取相反策略：透過自動化工具大規模、低成本地推送惡意提交至大量儲存庫，依賴「廣度而非深度」造成影響。

從攻擊技術角度看，Megalodon 攻擊可能透過幾個管道實施。第一是受害者帳號被盜：攻擊者透過 phishing、credential stuffing、session hijacking 等方式取得開發者 GitHub 帳號，然後自動推送惡意程式碼至受害者擁有的儲存庫；第二是 OAuth token 濫用：開發者授權給第三方應用程式的 token 若被洩漏或濫用，攻擊者可在無需密碼的情況下直接推送程式碼；第三是 GitHub Actions 或 CI/CD 流程被入侵：透過修改自動化建置流程，將惡意程式碼注入合法儲存庫。

近 6,000 筆惡意提交在 6 小時內推送的速度，顯示攻擊高度自動化。手動操作不可能達成此一規模，必須依靠腳本與機器人協作。攻擊者可能事先建立大量殭屍帳號或盜用合法帳號，並透過分散式架構同時執行推送行動，使 GitHub 的偵測與封鎖機制難以即時回應。

受影響的 5,500 個儲存庫類型多元，涵蓋個人開源項目、企業內部項目、學術研究專案等。GitHub 已啟動緊急回應流程，包括：暫停可疑帳號活動、移除已偵測到的惡意提交、通知受影響儲存庫擁有者、與資安業者協同分析攻擊模式。然而 GitHub 平台規模龐大（超過 1 億活躍開發者、4 億個儲存庫），完整清理可能需要數天甚至數週。

從惡意程式碼分析看，Megalodon 注入的程式碼類型可能包括：竊資軟體（cryptocurrency wallet stealer、credential harvester）、加密貨幣挖礦程式、後門程式（建立持續性的攻擊者存取）、廣告軟體（在合法軟體中夾帶廣告）、傀儡網路客戶端（將受害者裝置納入 botnet）等。具體分布尚待 GitHub 與資安業者進一步分析公布。

對開源生態系的衝擊極為深遠。開源軟體已成為現代軟體開發的基礎，幾乎所有商業軟體都直接或間接依賴開源套件。Megalodon 攻擊若有任何惡意程式碼成功進入主流套件並被廣泛採用，可能對全球軟體供應鏈造成連鎖性威脅。即便 GitHub 已迅速回應，部分惡意程式碼可能已被開發者下載並整合至他們的項目中，影響延伸至 GitHub 平台之外。

從產業意義看，Megalodon 事件揭示開源生態系面臨的結構性挑戰。GitHub 等程式碼託管平台雖然提供強大的安全工具（如 Dependabot、CodeQL、Secret Scanning），但開發者個人帳號的安全防護、第三方應用程式的權限管理、CI/CD 流程的安全強化等仍存在大量盲點。同時，開源項目維護者多為志願者，難以負擔深度的安全審查工作，使供應鏈攻擊得以利用此一弱點。

對開發者與企業的建議包括幾個重要面向。第一，立即檢查自身 GitHub 帳號活動：查看近期是否有未經授權的提交、推送、新增協作者等異常行為；第二，強化帳號安全：啟用雙因素驗證（2FA）、使用 FIDO2 安全金鑰、定期審查授權的第三方應用程式；第三，審查依賴項：使用 Dependabot、Snyk、GitHub Advanced Security 等工具掃描依賴套件的安全性；第四，鎖定關鍵分支：對 main、production 等關鍵分支啟用保護規則，要求 code review 與簽署提交。

業界分析人士指出，Megalodon 事件是 AI 驅動自動化攻擊時代的重要警示。攻擊者使用自動化工具（可能包含 AI 輔助）大幅降低攻擊成本與門檻，使大規模、廣度攻擊成為可能。防禦端必須相應升級，採用同樣的自動化與 AI 技術強化偵測與應對能力。傳統的人工監控與規則引擎已不足以應對此類威脅。

從監管角度看，這類大規模供應鏈攻擊事件可能促使全球各國加速推動開源軟體安全立法。歐盟的 Cyber Resilience Act、美國的開源軟體安全法案、英國的 Online Safety Act 等都已開始討論如何強化開源生態系的安全治理。未來幾年內，企業使用開源軟體可能面臨更嚴格的合規要求，包括強制性的 SBOM（Software Bill of Materials）揭露、漏洞回應時程要求、安全認證機制等。

短期內，GitHub 將持續清理受影響的儲存庫並強化平台安全機制。中長期觀察重點則在於開源社群能否建立更系統性的安全防護機制、自動化攻擊與防禦的技術競賽走向、以及全球資安立法對開源生態系的影響，這些將共同決定軟體供應鏈安全的長期演進方向。