Campagne GhostAction : 1 900 comptes GitHub compromis en 2 jours
La campagne GhostAction s'intensifie : 1 900 comptes GitHub compromis et plus de 30 000 dépôts visés selon GitGuardian.
La campagne GhostAction vient de franchir un nouveau palier. Selon GitGuardian, elle a ainsi visé plus de 30 000 dépôts GitHub. Ces dépôts appartiennent à environ 3 000 utilisateurs et organisations. Par ailleurs, le pic a été observé les 8 et 9 octobre 2026.
Cette opération est connue pour le vol d’identifiants. Son ampleur récente inquiète donc les équipes de développement. En effet, les secrets visés donnent souvent accès à des services critiques.
Une campagne GhostAction en forte accélération
Les chiffres communiqués par GitGuardian montrent une hausse nette de l’activité. D’abord, plus de 30 000 dépôts ont été ciblés en seulement deux jours. Ensuite, ils sont répartis entre 3 000 comptes, qu’il s’agisse d’utilisateurs individuels ou d’organisations.
Cette vague découle de la compromission d’environ 1 900 comptes GitHub. Autrement dit, les attaquants ont d’abord pris le contrôle de comptes légitimes. Ils s’en sont ensuite servis pour étendre leur portée.
Au total, la campagne a tenté d’extraire 3 174 secrets. Ces secrets proviennent de l’intégration continue (CI) de dépôts publics. Cependant, tous les secrets visés n’ont pas forcément été dérobés avec succès. En effet, il s’agit ici de tentatives d’extraction.
- Période : 8 et 9 octobre 2026
- Dépôts ciblés : plus de 30 000
- Utilisateurs et organisations concernés : environ 3 000
- Comptes GitHub compromis : environ 1 900
- Secrets visés : 3 174
Pourquoi les secrets de CI attirent les attaquants
Les pipelines d’intégration continue automatisent la compilation, les tests et le déploiement. Ils manipulent donc de nombreux secrets. On y trouve par exemple des jetons d’API, des clés d’accès cloud ou des identifiants de registres de paquets.
Ces éléments sont précieux pour un attaquant. En effet, un seul jeton valide peut ouvrir l’accès à une infrastructure entière. Par conséquent, les environnements de CI sont devenus une cible de choix.
De plus, les dépôts publics sont faciles à repérer et à analyser. Les attaquants peuvent ainsi mener une opération à grande échelle avec peu d’efforts. La rapidité de cette vague en est une illustration.
Les risques liés à la campagne GhostAction
Le principal danger est l’effet de rebond. Ainsi, un secret volé peut servir à pénétrer d’autres systèmes. Il peut également permettre de publier du code malveillant ou d’accéder à des données sensibles.
En outre, la compromission de comptes GitHub légitimes complique la détection. Une activité menée depuis un compte de confiance éveille moins les soupçons. C’est pourquoi les organisations doivent surveiller de près les changements inhabituels dans leurs dépôts.
Les développeurs individuels sont également concernés. Les 3 000 victimes visées ne se limitent pas à de grandes entreprises. Des comptes personnels figurent donc dans le périmètre de la campagne.
Recommandations pour limiter l’exposition
Les informations disponibles ne détaillent pas, en effet, toutes les étapes de l’attaque. Néanmoins, plusieurs bonnes pratiques générales s’imposent face à ce type de menace.
- Vérifier les workflows. Examinez d’abord les fichiers de configuration de CI. Repérez ensuite toute modification que vous n’avez pas effectuée.
- Renouveler les secrets. Si un doute existe, révoquez immédiatement les jetons et les clés stockés dans vos dépôts, puis remplacez-les.
- Contrôler l’activité du compte. Consultez également les journaux de sécurité, les sessions actives et les jetons d’accès personnels.
- Renforcer l’authentification. Activez donc l’authentification multifacteur sur tous les comptes GitHub.
- Limiter les privilèges. Utilisez par exemple des jetons à portée restreinte et à durée de vie courte, plutôt que des accès étendus.
- Surveiller les fuites. Enfin, mettez en place une détection automatisée des secrets exposés dans le code et dans la CI.
Ce qu’il faut retenir
La campagne GhostAction a pris de l’ampleur les 8 et 9 octobre 2026. Ainsi, environ 1 900 comptes GitHub ont été compromis. Plus de 30 000 dépôts ont été visés. Par ailleurs, 3 174 secrets de CI ont fait l’objet de tentatives d’extraction, d’après GitGuardian.
Par conséquent, les équipes doivent traiter les secrets de CI comme des actifs critiques. Une rotation rapide, une authentification forte et une surveillance continue réduisent nettement le risque. Enfin, en cas de doute sur un compte ou un dépôt, mieux vaut agir sans attendre.
Source : GhostAction Compromises About 1,900 GitHub Accounts, Targets Over 30,000 Repositories