Un atacante usó 4,837 cuentas robadas de GitHub para plantar un ladrón de secretos en 1,806 repositorios

El código se escondía en los flujos de integración continua y se llevaba credenciales de nube. El atacante borraba el cambio a los pocos minutos para no dejar rastro.

Desde el martes, un atacante usó credenciales robadas de 4,837 cuentas de GitHub para plantar un ladrón de secretos en los repositorios donde esas cuentas podían escribir, según la empresa de seguridad Aikido Security, informó The Hacker News el 12 de noviembre de 2026. El código busca los secretos y las credenciales de nube que alcanzan los flujos de integración continua de cada repositorio, y se ejecutó en al menos 1,806.

Cada ataque empezaba con una solicitud de cambios titulada «docs: dependency audit notes», abierta desde una rama llamada wfx-docs para probar si la cuenta tenía permiso de escritura. Esas pruebas llegaron a 61,764 repositorios. Investigadores de SafeDep contaron por su lado 8,093 repositorios con commits maliciosos entre el martes y la madrugada del jueves, solo en las ramas principales de repositorios públicos, así que el total real es mayor.

En 7,309 de esos repositorios el ladrón se añadió a un flujo existente, y en 771 llegó como un script que se ejecuta al correr npm install, también en la computadora del desarrollador. Después de subirlo, el atacante solía revertir el cambio en minutos y borrar los registros de la ejecución. Aikido advierte que cualquier cuenta que abrió una de esas solicitudes de prueba está comprometida, aunque el ladrón nunca haya corrido. Su análisis no explica cómo se obtuvieron las credenciales.

SafeDep recomienda revocar los tokens, permisos de aplicaciones OAuth, llaves SSH y sesiones del autor del commit, activar la verificación en dos pasos y rotar cada secreto y variable que el repositorio pueda leer. Quien haya corrido npm install sobre un commit afectado debe tratar esa máquina como comprometida. Las señales a buscar son ramas wfx-docs o ci-check y commits con mensajes como «ci: refresh build cache» o «chore: add ci helper».

Fuente: The Hacker News: «Attacker Used 4,837 Hijacked GitHub Accounts to Run a CI Secret Stealer in 1,806+ Repositories», 12 de noviembre de 2026.