GhostAction compromete alrededor de 1900 cuentas de GitHub y ataca a más de 30 000 repositorios.

La campaña de robo de credenciales conocida como GhostAction se ha intensificado, afectando a más de 30 000 repositorios de 3000 usuarios y organizaciones.

Según GitGuardian, el repunte se observó los días 8 y 9 de octubre de 2026.

«Esto se debió al compromiso de las cuentas de GitHub de aproximadamente 1900 usuarios. Se intentó extraer 3174 secretos de la infraestructura de configuración (CI) de repositorios públicos», afirmaron los investigadores de seguridad Gaetan Ferry y Guillaume Valadon.

GhostAction es el nombre de una campaña de ataque a la cadena de suministro dirigida a la infraestructura de desarrolladores en GitHub. Descubierta originalmente en septiembre de 2025, consiste en que los ciberdelincuentes comprometen cuentas legítimas de desarrolladores para inyectar flujos de trabajo de automatización maliciosos de GitHub Actions en repositorios de software.

Se ha descubierto que los atacantes obtienen acceso de escritura a los repositorios utilizando tokens de acceso personal (PAT) robados o credenciales extraídas de registros y volcados de información. Utilizando la cuenta de administrador comprometida, envían un archivo de flujo de trabajo malicioso disfrazado con nombres engañosos como Auditoría de Seguridad ("security-audit.yml") o Seguridad de GitHub Actions ("github_actions_security.yml").

El objetivo final es el robo a gran escala de secretos de integración y despliegue continuos (CI/CD), credenciales en la nube, tokens de registro de paquetes (como npm, PyPI y DockerHub) y claves API de proveedores de inteligencia artificial (IA).

Desde el 31 de agosto de 2026, se ha detectado una nueva oleada de GhostAction, con el flujo de trabajo malicioso distribuido a cientos de repositorios.

"Esta nueva oleada parece más experimental y manual que las anteriores, con una carga útil que evoluciona con el tiempo", afirmó GitGuardian. "En comparación con la carga útil original de GhostAction, la primera versión de esta nueva carga útil añadió una función de escaneo de secretos del historial de Git".

Como ya explicaron Socket y StepSecurity, la funcionalidad de escaneo del historial incluye expresiones regulares para la detección de secretos que abarcan identificadores de claves de AWS, tokens de GitHub y GitLab, secretos relacionados con IA y claves de API en la nube.

Una segunda versión de la carga útil también captura aproximadamente dos líneas de contexto alrededor de cada identificador de clave de AWS encontrado para asociarlos con sus claves de acceso secretas correspondientes. Una tercera y última variante de la carga útil incluye soporte para recuperar el contexto secreto durante el escaneo del historial de Git.

"Esta carga útil se implementó en varias fases", declaró GitGuardian. "Primero en 160 víctimas previamente detectadas y, 20 minutos después, en 28.000 nuevos repositorios entre el 8 y el 9 de octubre. Se observaron nuevas oleadas, utilizando la misma carga útil, el 10 y el 12 de octubre. Sin embargo, GitHub comenzó a bloquear la ejecución del flujo de trabajo malicioso a partir del 9 de octubre. Por lo tanto, esas dos oleadas posteriores no pudieron extraer ningún secreto".