credenciais de nuvem

Cerca de 4.800 contas do GitHub abusadas com tokens aparentemente roubados, e roubo de segredos de CI e credenciais de nuvem (novembro de 2026): o que os donos de repositórios devem fazer hoje

A partir de aproximadamente 10 de novembro de 2026, cerca de 4.800 contas do GitHub foram usadas com tokens válidos que parecem roubados para enviar pull requests de sondagem a um grande número de repositórios e, em alguns, fazer alterações maliciosas que roubaram segredos do GitHub Actions e credenciais de nuvem. As três empresas de segurança que investigaram contam coisas diferentes. A empresa A informa que 4.837 contas enviaram pull requests de sondagem a 61.764 repositórios e que o código malicioso foi executado e enviou credenciais para fora em pelo menos 1.835 repositórios. A empresa B conta 8.093 repositórios públicos que receberam alterações maliciosas (não o número em que foi executado). A empresa C diz que nenhuma falha do GitHub Actions foi explorada e que tokens válidos foram usados. Alguns pull requests de sondagem vieram de tokens emitidos ao app do GitHub de um provedor de nuvem; esse provedor diz que sua própria infraestrutura não foi violada e que seu processo de deploy deixou tokens onde alguns apps de clientes os expuseram. O GitHub não publicou nada sobre isso na verificação de 14 de novembro (não informado). Nossa opinião: é um tipo de ataque que esperar uma correção não consegue impedir. As prioridades são verificar pull requests, branches e execuções do Actions que você não reconheça, revogar e reemitir segredos e revisar as configurações de confiança da nuvem.