【悲報】防犯カメラのログイン画面にGitHub管理者トークンがべた書きされていた件 DoD（米国防総省）のIP直書き疑惑も発覚
投稿日時: 2026/07/24 20:54
■ 概要・編集部サマリー
【背景・セキュリティ】韓国Hanwha社製の防犯監視カメラ用Web管理インターフェースのソースコード内に、同社のGitHub管理者APIトークンおよび米国防総省関連サーバーのIPアドレスがベタ書きで残留していたセキュリティ事故の検証。 【焦点・漏洩】ログイン画面のHTML/JSソースを開くだけで、開発者の特権OAuthトークンが丸見えになっており、GitHub上の全秘密リポジトリへアクセス可能な状態だった致命的ミス。 【評価・議論】防犯カメラメーカーの杜撰なサプライチェーン・セキュリティと、フロントエンド秘密情報露出リスク。
1. ネットワークカメラに埋め込まれていた平文のアクセス鍵
市販されているネットワーク防犯カメラ（IPカメラ）のバイナリファームウェアを静的解析した結果、開発元の社内GitHubリポジトリ全体にアクセス可能な管理者APIトークンが平文で残存していた。
トークンを用いることで、企業の機密ソースコードや未公開脆弱性情報に誰でもアクセスできた前代未聞の失態が発覚した。
2. 米国防総省（DoD）IPアドレス直書きとサプライチェーンリスク
さらに、ハードコードされた通信宛先IPの中に米国防総省関連の特殊ネットワークが含まれていたことが確認され、国家安全保障上の懸念が急浮上した。
IoT製品のファームウェア検査（SBOMやシークレットスキャン）がいかに杜撰であったかを示す代表的失敗事例となった。
3. IoT製品開発のサプライチェーン安全確保
ファームウェアからのシークレット漏洩が引き起こす致命的影響を可視化した、セキュリティ担当者必読の調査事故レポートである。
安全な製品作りのための警鐘だ。
海外掲示板の反応・まとめ
■ 防犯カメラのログイン画面へのGitHub管理者トークンべた書き事故。サプライチェーンセキュリティの杜撰さが議論されています。
大手防犯カメラの管理画面のソースコード開いたら、開発者のGitHub管理者OAuthトークンがそのままJSにベタ書きされててワロタw 右クリックで『ページのソースを表示』するだけで誰でも見れたぞ！
>>2 防犯カメラ作ってるセキュリティ企業が一番防犯できてないのギャグすぎるだろ。そのトークン使えばHanwha社の全非公開リポジトリアクセスし放題だったとか地獄。
>>3 しかもコードの中に米国防総省（DoD）のサーバーIPアドレスまでコメントアウトで残ってて、どんな納品受託やってたのかまで全世界にバレてるの草。
>>4 CI/CDのパイプラインにTruffleHogとかGit-secrets入れるだけの1分で終わるシークレットスキャンすらやってなかったのかよ。開発体制どうなってんだ。
組込み機器のWeb画面開発って、外注の若いWeb業者に投げてノーチェックでファームウェアに焼き込む現場多いから、こういう事故定期的に起きるんよな。
自社のWebアプリのJS bundleファイルの中に古いStripe鍵やAWSアクセスキー残ってないか、今すぐ全社で再チェック走らせたわ。