GitHub : des comptes de développeurs piratés servent à voler les secrets de centaines de projets
La campagne GhostAction est revenue le 8 octobre : avec des comptes de développeurs volés, des pirates ont ajouté en quelques minutes une fausse tâche « audit de sécurité » à 345 dépôts GitHub. Cette tâche envoie aux pirates les clés d'accès cachées dans le projet et dans tout son historique (clés de cloud, d'outils d'IA, jetons de publication). Selon la société Socket, plus de 500 comptes ont déjà propagé ce fichier.
Pourquoi ça compte
Un mot de passe ou une clé écrit un jour dans un projet reste lisible dans son historique, même après suppression. Une seule clé volée peut ouvrir un serveur, un compte cloud ou permettre de publier un faux logiciel.
Ce que tu dois faire
✅ Si tu publies du code sur GitHub, vérifie qu'aucun fichier de tâche inconnu n'a été ajouté dans le dossier des workflows, active la double authentification et change toute clé qui a déjà été écrite dans un dépôt.
Sources
← Tout le numéro du 10 octobre 2026 📬 Recevoir Le Fil par e-mail