Uma campanha de ataques cibernéticos chamada Gheist está utilizando tokens de autenticação roubados do GitHub para acessar repositórios privados e identificar informações confidenciais de empresas e desenvolvedores.
A atividade maliciosa foi identificada pela empresa de segurança em nuvem Wiz, que apontou o uso de credenciais comprometidas como principal mecanismo de acesso aos ambientes de desenvolvimento.
Segundo a investigação, a campanha está em atividade desde 15 de setembro e busca explorar permissões associadas aos tokens roubados. Essas credenciais permitem a interação com repositórios e outros recursos da plataforma, dependendo dos níveis de acesso concedidos.
Entre os principais riscos está a exposição de informações sensíveis armazenadas nos códigos e arquivos de configuração. Chaves de API, senhas e credenciais de serviços podem permitir novos acessos não autorizados a sistemas corporativos.
O ataque chama atenção para os perigos relacionados ao armazenamento inadequado de segredos digitais e à utilização de tokens com permissões excessivas.
A adoção de credenciais com acesso limitado, a rotação periódica de tokens e o monitoramento de atividades suspeitas são medidas que ajudam a reduzir a exposição a esse tipo de ameaça.
O caso demonstra como o comprometimento de uma única credencial pode colocar em risco diferentes sistemas conectados ao ambiente de desenvolvimento.
