別の組織に対する攻撃とは「tj-actions/changed files」に関する漏えい事件で、これが今回の攻撃と関連があるとされている（注1）。サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）によると（注2）、tj-actions/changed filesに関する漏えいは「CVE-2025-30066」として追跡されている（注3）。この脆弱性は同年3月14日～同年3月15日の間に発生し、秘密情報の漏えいにつながった。

　CISAは悪用が確認された脆弱性をまとめたKEVカタログに「CVE-2025-30066」を追加した。CISAは組織に対して、異常な活動や確認されたインシデントを24時間態勢で稼働しているオペレーションセンターに報告するよう求めた。

　サイバーセキュリティ事業を営むStep Securityによると（注4）、tj-actions/changed filesのインシデントは、メンテナーが使用していたアカウント「@tj-actions-bot」にリンクされていたパーソナルアクセストークンの侵害に端を発するという。その結果、Pythonで構築された悪質なスクリプトがRunner WorldプロセスからCI/CD（継続的インテグレーション／継続的デリバリー）のシークレットを外部に送り出した。

　サイバーセキュリティ事業を営むEndor Labsの研究者によると、tj-actions/changed filesの漏えいに関連して約218件のリポジトリからシークレットが漏えいした（注5）。これらの秘密情報の大部分はワークフローの完了後に失効するGithub_Tokenに関連するものだ。

　セキュリティ研究者のアドナン・カーン氏が「X」に情報を投稿した後（注6）、reviewdog/action-setup/v1に関連する漏えいが発覚し、クラウドセキュリティサービスを提供するWizの研究者はv1タグが侵害されていることに気付いた（注7）。

　Wizの広報担当者によると、reviewdog/action-setup/v1のインシデントが影響を及ぼす範囲は、tj-actions/changed fileの漏えいが影響を及ぼす範囲よりもはるかに狭いという。reviewdog/action-setup/v1のインシデントは約2時間しか続かず、約1500のリポジトリに影響を与えたが、tj-actions/changed-filesに対する攻撃ではインシデントが約22時間続き、1万4000ものリポジトリに影響を与えた。

　GitHubは侵害の有無をユーザーが判断し、今後同様の攻撃を防ぐための対策を追加するために役立つガイダンスを提供した（注8）。

　GitHubのユーザーは2025年3月14日～同年3月15日のワークフローを見直すべきだ（注9）。機密情報が漏えいしていた場合はシークレットを無効化して再発行しなければならない。

　Palo Alto Networksの研究者は「長期的なセキュリティのために、組織はパイプラインベースの厳格なアクセス制御を実装すべきだ」と述べた（注10）。