GhostAction compromet unes 1.900 comptes de GitHub i apunta a més de 30.000 repositoris
Una campanya va fer servir comptes compromesos per introduir automatitzacions malicioses a GitHub Actions i robar secrets de desenvolupament i credencials cloud.
Què ha passat
La campanya va utilitzar comptes compromesos per introduir automatitzacions malicioses a GitHub Actions i robar secrets de desenvolupament, credencials cloud, tokens de publicació de paquets i claus de proveïdors d’IA. GitHub va bloquejar l’execució d’una part de les onades posteriors.
Per què importa
Un compte de desenvolupador compromès pot obrir la porta a infraestructura, desplegaments i productes que fan servir altres empreses. És un cas clar de risc a la cadena de subministrament.
Què recomanem
Doble factor resistent al phishing a tots els comptes de desenvolupament; revisar els fluxos de GitHub Actions modificats recentment; rotar secrets de cloud, registres de paquets i claus d’IA; fer servir credencials de curta durada en lloc de secrets fixos; i protegir la carpeta de workflows amb revisió obligatòria.
Servei relacionat: Desenvolupament de Programari
Vols saber com t’afecta?
Revisem el teu entorn i et diem què cal prioritzar, sense compromís.