Масштабна кібератака на платформу GitHub поставила під загрозу десятки тисяч програмних проєктів, зокрема пов’язаних із великими американськими корпораціями та державними установами США і Франції. За даними дослідників Aikido Security, зловмисники використали 4837 скомпрометованих акаунтів, щоб надіслати підроблені запити на зміни до 61 764 репозиторіїв. Щонайменше у 1835 випадках, за оцінкою компанії, шкідливий код виконався та передав конфіденційні дані хакерам. Основною метою атаки стало викрадення паролів, цифрових ключів і доступів до хмарних сервісів.
- Хакери використали 4837 скомпрометованих облікових записів GitHub.
- Підроблені запити на зміни отримали понад 61 тисяча програмних проєктів.
- У щонайменше 1835 репозиторіях зафіксовано виконання шкідливого коду.
- Під загрозою опинилися корпоративні паролі, API-ключі та доступи до хмарних платформ.
Як хакери проникали в тисячі проєктів GitHub
Кампанія, яку дослідники назвали wfx-loot, розпочалася 10 листопада 2026 року. Зловмисники використовували викрадені облікові дані розробників для доступу до репозиторіїв — сховищ програмного коду на GitHub.
Спочатку від імені скомпрометованих користувачів надсилали запити на внесення змін із назвою docs: dependency audit notes. Вони виглядали як звичайні технічні оновлення, але фактично допомагали перевірити, до яких проєктів зловмисники мають право запису.
Після цього хакери вносили шкідливий скрипт до автоматизованих процесів GitHub Actions. Код запускався під час виконання робочих завдань і збирав конфіденційну інформацію.
Особливістю атаки стало приховування слідів. Після викрадення даних зловмисники скасовували внесені зміни та видаляли журнали виконання, іноді протягом однієї хвилини.
Серед атакованих проєктів були державні структури США та Франції
За інформацією дослідників, скомпрометовані акаунти мали доступ до репозиторіїв великих компаній зі списку Fortune 100, американського Управління загальних служб (GSA), французької державної платформи beta.gouv.fr та відкритих проєктів Nextcloud і WebdriverIO.
Водночас наявність доступу до цих репозиторіїв не означає, що в кожній із названих організацій відбулося викрадення даних.
Шкідливе програмне забезпечення було націлене на ключі доступу до Amazon Web Services, Microsoft Azure, Google Cloud, а також токени GitHub, SSH-ключі та API-ключі сервісів штучного інтелекту, зокрема OpenAI й Anthropic.
У деяких випадках код намагався створити додаткові механізми доступу до хмарної інфраструктури, які могли залишатися активними навіть після зміни викрадених паролів.
Дослідники попереджають про ризик нових атак через викрадені ключі
За попередніми оцінками Aikido Security, шкідливий код виконався щонайменше у 1835 репозиторіях. Водночас в іншій частині дослідження наведено консервативнішу оцінку — 1806 проєктів. Фактична кількість постраждалих може бути більшою через видалення журналів.
Кампанія також торкнулася екосистем поширення програмних пакетів, зокрема Packagist та Go.
Фахівці рекомендують розробникам перевірити історію змін, журнали GitHub Actions та всі підключені сервіси. Якщо шкідливий код виконувався в репозиторії, необхідно замінити потенційно викрадені ключі та перевірити, чи не залишили зловмисники прихованих доступів до хмарної інфраструктури.
