GitLab保存のシークレット悪用で24社が侵害、翌日GitLabが「特効薬」を発表

登録機関と消去されたデータベース

政府系の金融登録機関が12万件超の記録を奪われた。手を下したのは「Azazel」名義で活動するランサムウェアのアフィリエイトで、攻撃者はPythonスクリプトを使って同機関のPostgreSQLサーバーを停止させ、本番環境のデータディレクトリを削除した¹。一連の犯行は6カ国で24を超える組織に及んだ¹。あるソフトウェアプラットフォームから十数社の顧客環境へ広がった侵入1件だけで、150以上のデータベースと数百のソースリポジトリへのアクセスを得ている¹。医用画像企業の1社は、認証のかからないAI画像APIを通じて6テラバイトを失った¹²。

鍵はパイプラインの中にあった

CloudSEKのレポートと10月5日発表の「The Gentlemen Files」↗²は、侵害の大半を、GitLabのCI/CDパイプラインと構成変数、リポジトリ履歴から盗まれた認証情報に起因すると特定した↗。盗まれたのは、データベースのパスワード、APIキー、アクセストークン、SSHの秘密鍵¹²。研究者らの見立てでは、これらのシークレットの多くはリポジトリの現行版では削除済みで、過去のコミットに残っていた²。Azazelは窃取したデータを29テラバイトのサーバーに集め、22テラバイトのボールトへ流し込んでいた。MCP経由でAIコーディング支援ツールを使い、侵入済みのマシンにコマンドを送ってもいる²。調査結果のどこにも、GitLab自体が侵害されたとは書かれていない。書かれているのは、顧客がその中に置いていくものだ。

特効薬は翌日に届いた

GitLabは10月6日、ガバナンスの効いたソフトウェアファクトリー↗を発表した。一般提供を始めた「Secrets Manager」は、シークレットを必要とするジョブだけに利用範囲を限定し、漏洩した認証情報をワンクリックで失効できる。早期アクセス中の「Dependency Firewall」と、5つの統制で構成する「Security Standard」も打ち出した³。アンソロピックの「Claude Mythos 5」と「5.1」が新たなリメディエーション(修復)フローを支える³。同じ日、JPモルガン・チェースのジェイミー・ダイモン氏は「Mythos」以降、サイバーリスクが「10倍になった」と語った↗⁴。Azazelがパイプラインからかき集めたトークンの一つひとつが、レポートの翌日にGitLabが発表した製品群のユースケースになっている。

成長は本物、つけは利益率

GitLabは9月1日、2027会計年度第2四半期の決算を発表↗した。売上高は2億8625万ドルと21.3%増えた。調整後の1株当たり利益(EPS)は0.24ドルで、市場予想の0.18ドルを上回った⁵⁶。だが、下の行に目を移すと話は逆になる。非GAAPベースの粗利益率は90%から86%に下がり、GAAPベースは6四半期連続で悪化して84.1%まで落ちた。営業キャッシュフローは前年同期のプラス4937万ドルからマイナス309万ドルへ転じた⁶⁷。有料でのAI利用額はランレート(年換算)で4000万ドルを突破した。経営陣が年度末までに掲げる目標は1億ドル超だ⁶。

強気は70ドル、弱気は47ドル

決算の翌日、カナコードは目標株価を40ドルから70ドルに引き上げた↗⁸。ベアードは「アウトパフォーム」評価で59ドルへ切り上げた⁸。「アンダーウェイト」を維持したバークレイズは47ドルへ動き、コンセンサスは51.75ドルにある⁸。株価は10月6日、51.63ドルで引けた⁵。強気論の足場は、ネットリテンション(純収益維持率)117%⁸と、GitLab自身の集計で前年比200%増となったエージェント型開発の利用者数³だ。弱気論が指すのは、利益率とキャッシュフローという2本の線だ。

決着は12月1日

第3四半期決算は12月1日に発表される⁶。通期の売上高見通しは11億2900万~11億3300万ドルで、成長率が18~19%へ鈍ることを自ら織り込んでいる⁶。焦点は、粗利益率を維持したまま「Secrets Manager」とDuoの利用が売上高に表れるかどうかだ。セキュリティへの不安は今や一つの製品カテゴリーであり、それを値踏みするのが次の決算だ。