Хакеры взломали 1 900 аккаунтов GitHub и атаковали 30 000 репозиториев

Злоумышленники скомпрометировали около 1 900 учетных записей GitHub. С их помощью они внедрили вредоносные процессы GitHub Actions более чем в 30 000 репозиториев. Цель была похитить токены CI/CD, ключи доступа к облакам и API-ключи ИИ-провайдеров. Пик активности пришелся на 8 и 9 октября. В общей сложности хакеры попытались извлечь 3 174 секрета.

В отличие от известных уязвимостей в самом механизме GitHub Actions, здесь хакеры использовали украденные учетные данные разработчиков для прямого изменения процессов. Аналитики из StepSecurity предполагают, что источником стали утекшие в сеть персональные токены доступа (PAT), хотя точный вектор атаки еще не подтвержден. 

Хотя встроенные механизмы одобрения GitHub блокируют большинство вредоносных действий, хакеры просто переиспользовали 92 старых процесса от предыдущих атак, включая инфраструктуру, которая была активна с сентября 2025 года