GhostAction : vol massif de credentials via GitHub Actions
10 octobre 2026 · Cybersécurité · MSFT,AMZN,GOOGL,NET
La campagne GhostAction a compromis plus de 500 comptes GitHub pour injecter des workflows malveillants déguisés en audits de sécurité dans des dizaines de milliers de dépôts depuis octobre 2026. Les attaquants exfiltrent des secrets CI/CD, clés AWS, tokens PyPI/npm/DockerHub et credentials cloud vers une adresse IP codée en dur. Deux comptes de mainteneurs open-source de haut profil (pyxel et athenadriver) ont été utilisés pour propager le workflow malveillant dans 345 dépôts en quelques heures. La campagne est active depuis fin août 2026 et a déjà permis l'exfiltration de plus de 3 325 secrets.
Impact marchés
Secteurs DevOps, cloud et open-source touchés. AWS, GitHub (Microsoft), PyPI, npm, DockerHub, OpenAI, Anthropic, Cloudflare, Azure, Google Cloud et GitLab sont directement mentionnés comme cibles de vol de credentials. Risque de compromission de chaînes CI/CD à grande échelle.
Opportunités
Opportunité pour les acteurs de la sécurité de la chaîne d'approvisionnement logicielle (supply chain security) et de la gestion des secrets (secrets management). Risque pour les entreprises utilisant GitHub Actions sans contrôles stricts. À surveiller : impact potentiel sur la réputation des plateformes cloud et des outils DevOps.