あります。①ソースコードにパスワードやAPIキーが書かれたまま公開された、②テスト用に本番の個人データをリポジトリに入れた、③社員が個人のアカウントで業務のコードを公開した、④開発者のアカウントや認証トークンが盗まれたなどが原因です。
組織の対策
- 組織のアカウントで管理し、多要素認証を必須に
- リポジトリの公開・非公開の設定を管理し、公開は承認制
- シークレットスキャン（認証情報の混入を検出する機能）を有効にする
- コミットの前にシークレットを検出する仕組み（プッシュの保護）
- 本番データをテストに使わない（使う場合は匿名化）
- 退職者のアクセス・トークンの削除
一度公開した情報は、削除しても安全ではありません。公開リポジトリは自動で収集されていることがあり、履歴にも残ります。認証情報は必ず無効化して作り直してください。