VS Code拡張機能によるAPIキー漏洩を防ぐ方法 (opens in new tab)

2026年5月20日、GitHubは、攻撃者が約3,800の内部コードリポジトリからデータを盗んだことを確認しました。侵入経路はGitHubサーバーのゼロデイではなく、従業員のノートパソコンにインストールされた不正なVS Code拡張機能でした。拡張機能は開発者と同じファイルシステム権限で動作するため、ソースコード、設定ファイル、ワークスペース内の認証情報を読み取れます。APIキーを同種の攻撃から守るには、クラウドだけでなく、開発者マシンとそこで動くツールを前提に対策する必要があります。 今すぐApidogを試す TL;DR（要するに） 侵害されたIDE拡張機能や流出したリポジトリからAPIキーを守るには、開発ツールが読める場所にアクティブな認証情報を置かないことが重要です。 実施すべきことは次の通りです。 シークレットをソースコードにハードコードしない 実キー入りの .env をコミットしない .gitignore をセキュリティ制御として扱わない キーを環境ごとに分離する 最小権限・短命の認証情報を使う 定期的にローテーションする APIクライアントでは、プレーンテキストファ...