Ataque a GitHub: 1.900 cuentas y 30.000 repos comprometidos

GitHub, la plataforma de desarrollo colaborativo más utilizada, ha sufrido un ataque significativo. Los atacantes lograron acceder a aproximadamente 1.900 cuentas y, desde ellas, modificaron workflows en más de 30.000 repositorios. El objetivo: robar credenciales de CI/CD, claves de acceso a la nube y tokens de API de proveedores de IA. La campaña, denominada GhostAction por GitGuardian, se intensificó especialmente los días 8 y 9 de octubre, cuando los atacantes alcanzaron repositorios de unos 3.000 usuarios y organizaciones, intentando extraer 3.174 secretos.

Este incidente no explota una vulnerabilidad en GitHub Actions, sino que los atacantes utilizaron credenciales de desarrollador robadas para modificar directamente los workflows. Según el análisis de StepSecurity del 9 de octubre, es probable que los tokens de acceso personal (PAT) obtenidos de volcados de credenciales fueran la fuente, aunque no se ha confirmado el compromiso inicial.

Los atacantes añadieron workflows maliciosos con nombres que simulaban tareas de seguridad, como security-audit.yml o github_actions_security.yml. Estos workflows referenciaban secretos ya utilizados por compilaciones legítimas, lo que les permitía recopilar esas credenciales durante su ejecución y enviarlas a un servidor controlado por los atacantes.

Más allá de los secretos explícitos

La variante de octubre fue más allá de los secretos referenciados explícitamente por los workflows. Utilizando actions/checkout@v4 con fetch-depth: 0, los atacantes escanearon el árbol de trabajo y el historial completo de Git en busca de claves de AWS, tokens de GitHub y GitLab, claves de Google y Firebase, y tokens de API de Anthropic, OpenAI y OpenRouter. Las versiones posteriores capturaban líneas circundantes para emparejar los ID de clave de AWS con sus claves de acceso secretas correspondientes. Las credenciales recolectadas se enviaban por HTTP a la dirección 193.32.204.199, incluyendo claves eliminadas del código actual pero aún presentes en el historial de Git.

GitHub bloqueó los workflows maliciosos, pero el daño ya estaba hecho. El número total de credenciales robadas sigue siendo desconocido. GitGuardian contabilizó 3.174 secretos objetivo de extracción y confirmó alguna exfiltración durante la campaña de octubre, pero no determinó cuántas credenciales distintas llegaron a los atacantes. En la campaña de agosto y septiembre, GitGuardian identificó workflows maliciosos en 772 repositorios públicos de 373 usuarios y organizaciones. De las 3.669 ejecuciones de workflows registradas en 605 repositorios, solo 499 se ejecutaron, y 336 completaron con éxito la exfiltración de 26 secretos desde 13 repositorios.

Los controles de aprobación de GitHub detuvieron la mayoría de los workflows maliciosos, pero los atacantes simplemente reciclaron 92 antiguos que quedaron de ataques anteriores, incluyendo infraestructura activa desde septiembre de 2025. Para empeorar las cosas, GitGuardian descubrió que, para el 5 de octubre, solo el 16% de los repositorios afectados (124 de 772) habían sido limpiados.

¿Qué significa esto para tu pyme?

Si tu empresa utiliza GitHub para alojar código, aunque sea en repositorios privados, este ataque es una llamada de atención. Los atacantes no necesitan explotar una vulnerabilidad compleja; les basta con obtener credenciales de desarrollador para sembrar workflows maliciosos que roban secretos. En una pyme, donde a menudo se comparten credenciales y no se revisan exhaustivamente los cambios en los workflows, el riesgo es alto.

Además, el robo de claves de nube y tokens de API de IA puede tener consecuencias graves: desde acceso no autorizado a recursos en la nube hasta costes inesperados por uso fraudulento de servicios de IA. La exposición de estas credenciales puede pasar desapercibida durante meses, ya que los atacantes pueden utilizarlas de forma sigilosa.

Recomendaciones para proteger tu organización

Basándonos en el análisis de GitGuardian y StepSecurity, estas son las acciones que recomendamos implementar de inmediato:

• Revisa los workflows de tus repositorios: Busca archivos como security-audit.yml o github_actions_security.yml que no reconozcas. Comprueba el historial de cambios en .github/workflows/ y verifica que cada modificación sea legítima.
• Rota todas las credenciales expuestas: Si sospechas que algún secreto pudo ser exfiltrado, cámbialo inmediatamente. Esto incluye claves de AWS, tokens de GitHub, GitLab, Google, Firebase y cualquier API key de proveedores de IA. No te limites a los secretos actuales: revisa el historial de Git por si hay credenciales antiguas que sigan siendo válidas.
• Revoca accesos de cuentas comprometidas: Aunque hayas eliminado un workflow malicioso, si una cuenta con permisos de escritura fue comprometida, revoca sus credenciales y revisa su actividad reciente.
• Audita los registros de GitHub: Los registros de auditoría y la actividad de PAT pueden ayudarte a identificar qué cuentas modificaron los workflows y qué secretos pudieron verse comprometidos.
• Implementa el principio de mínimo privilegio: Limita los permisos de los tokens de acceso personal y de las cuentas de servicio. Utiliza tokens de corta duración y revisa periódicamente los accesos.
• Monitoriza el uso de secretos: Configura alertas para detectar accesos inusuales a secretos o intentos de exfiltración.

Este incidente subraya la importancia de la seguridad en la cadena de suministro de software. No basta con confiar en las medidas de la plataforma; las organizaciones deben adoptar una postura proactiva. En ForgeNEX, recomendamos revisar periódicamente las configuraciones de CI/CD y formar a los desarrolladores en buenas prácticas de seguridad. Si necesitas ayuda para auditar tus repositorios o implementar controles, nuestro equipo puede ayudarte.

La seguridad es un proceso continuo. Ataques como GhostAction demuestran que los atacantes están constantemente evolucionando. Mantente informado y protege tus activos digitales.

Fuente: The New Stack. Análisis y adaptación: ForgeNEX.