GhostAction: 1.900 cuentas de GitHub comprometidas y claves de IA robadas
Un ataque a la cadena de suministro de GitHub Actions permitió inyectar flujos de trabajo maliciosos en más de 30.000 repositorios. Los atacantes buscaban llaves de nube, accesos de despliegue y claves de proveedores de IA.
Alrededor de 1.900 cuentas de GitHub fueron tomadas por atacantes que inyectaron flujos de trabajo maliciosos en más de 30.000 repositorios, de acuerdo con la firma de seguridad GitGuardian. La campaña, bautizada GhostAction, tuvo su pico de actividad los días 8 y 9 de octubre y se centró en el robo de credenciales.
El mecanismo del ataque apunta a GitHub Actions, el sistema de integración y entrega continua de la plataforma. Al comprometer una cuenta con permisos suficientes, los atacantes modificaron archivos de workflow para que se ejecutaran con los secretos del repositorio y enviaran esos valores a servidores externos. Entre los objetivos estaban llaves de servicios de nube, credenciales de despliegue y claves de API de OpenAI, Anthropic y OpenRouter.
El incidente ilustra un riesgo conocido de las cadenas de suministro de software: cualquier automatización que se ejecute con secretos puede convertirse en el punto más débil de un proyecto. Las recomendaciones habituales incluyen rotar tokens de CI, revisar los workflows de terceros antes de integrarlos, limitar los permisos de los tokens de GitHub Actions y auditar qué secretos quedan expuestos en cada ejecución.
GitGuardian no detalló cuántas de las credenciales robadas llegaron a utilizarse, pero el volumen de repositorios afectados convierte a GhostAction en uno de los incidentes de este tipo más extensos del año. La revisión de las bitácoras de Actions y la rotación preventiva de claves aparecen como las primeras tareas para los equipos que sospechan haber sido alcanzados.
Fuente: Enter.co.