GitHub Actions: Como Devs Podem se Proteger de Roubo de Credenciais
Você já imaginou acordar e descobrir que o seu projeto open source foi usado para roubar credenciais de milhares de desenvolvedores? Pois é exatamente isso que está acontecendo agora. Uma campanha massiva de roubo de credenciais, chamada GhostAction, está comprometendo contas de mantenedores no GitHub e injetando workflows maliciosos em dezenas de milhares de repositórios. Neste artigo, vou explicar como esse ataque funciona, como se proteger e, o mais importante, como evitar cair em golpes parecidos, como o do falso suporte técnico.
O que está acontecendo: a campanha GhostAction
Pesquisadores de segurança revelaram detalhes de uma campanha contínua de roubo de credenciais que já comprometeu duas contas de mantenedores de projetos populares. O atacante usou a conta de Takashi Kitao, autor do motor de jogos Pyxel (com 18.400 estrelas), para enviar um workflow malicioso a 27 repositórios. Oito horas depois, a conta de Henry Wu, autor original do AthenaDriver da Uber, foi usada para enviar o mesmo workflow a 318 repositórios em apenas 16 minutos.
Até 9 de outubro de 2026, mais de 500 contas do GitHub foram identificadas cometendo o workflow malicioso em dezenas de milhares de repositórios desde 7 de outubro. Essa atividade é atribuída ao GhostAction, um ataque à cadeia de suprimentos que veio à tona em setembro de 2025. Naquela época, 817 repositórios foram afetados, resultando na exfiltração de 3.325 segredos, incluindo tokens do PyPI, npm e DockerHub.
Como o ataque funciona: anatomia do roubo de credenciais
O ataque é sofisticado, mas segue um padrão claro. Vou detalhar cada etapa para que você entenda o risco:
- Obtenção de credenciais do mantenedor: O atacante obtém as credenciais do GitHub, provavelmente um token de acesso pessoal (PAT) vazado de logs de infostealers ou dumps de credenciais.
- Reconhecimento do repositório: Os arquivos de workflow existentes são escaneados em busca de segredos.
- Injeção do workflow malicioso: Um workflow disfarçado de "auditoria de segurança" é injetado no branch padrão, usando a identidade da vítima.
- Exfiltração de dados: O payload extrai os dados e os envia para um endpoint controlado pelo atacante via
curl.
O workflow malicioso é acionado por workflowdispatch e por push não filtrado (qualquer branch, qualquer tag). Ele faz checkout com fetch-depth: 0 e executa uma única etapa chamada "Audit" que faz quatro coisas:
- Anexa os segredos nomeados do repositório encontrados durante o reconhecimento.
- Escaneia a árvore de trabalho em busca de 13 padrões de credenciais associados a chaves AWS, serviços de IA, controle de fonte e chaves de API de SaaS e nuvem.
- Verifica todo o histórico do git em busca dos mesmos 13 padrões para colher credenciais que possam ter sido commitadas e depois removidas.
- Emparelha IDs de chave de acesso AWS com suas chaves secretas correspondentes.
Os dados capturados incluem segredos nomeados do GitHub Actions, incluindo segredos de CI/CD, e credenciais de nuvem, IA e SaaS presentes na árvore de trabalho e em todo o histórico do git, como chaves AWS, chaves de API da Anthropic, OpenAI e OpenRouter, e tokens do GitHub e GitLab.
O perigo dos forks e repositórios privados
Um detalhe alarmante: os 279 forks no namespace de Henry Wu carregam o arquivo de workflow. Se as Actions estiverem habilitadas, pushes subsequentes podem desencadear a coleta de credenciais. Forks downstream também estão em risco se herdarem o workflow malicioso, seja quando criados recentemente ou ao sincronizar com o repositório upstream afetado.
Os forks privados e espelhos downstream são os mais expostos, pois repositórios privados são onde credenciais commitadas realmente são encontradas. Em ambas as contas, cada execução retorna um identificador de repositório, mesmo que nenhuma credencial seja encontrada, permitindo que o operador mapeie contextos de execução acessíveis independentemente do roubo de credenciais.
Golpe do falso suporte técnico: uma ameaça paralela
Enquanto o GhostAction ataca desenvolvedores, usuários comuns enfrentam o golpe do falso suporte técnico. Criminosos ligam ou enviam mensagens se passando por suporte de empresas conhecidas, alegando problemas no computador ou na conta. Eles pedem acesso remoto ou informações pessoais para "resolver" o problema, mas na verdade instalam malware ou roubam credenciais. Esse golpe explora a confiança e a falta de conhecimento técnico, assim como o GhostAction explora a confiança em workflows de CI/CD.
Para se proteger do falso suporte técnico:
- Desconfie de contatos não solicitados: Empresas legítimas raramente ligam para você do nada.
- Nunca forneça senhas ou códigos de verificação por telefone ou chat.
- Não instale softwares de acesso remoto a pedido de terceiros.
- Verifique o número oficial da empresa e ligue você mesmo, se necessário.
Ambos os ataques mostram que a segurança digital exige vigilância constante e boas práticas.
Como se proteger do GhostAction e ameaças similares
Se você é desenvolvedor ou mantenedor de projetos no GitHub, siga estas recomendações imediatamente:
- Revogue credenciais comprometidas: Se você suspeitar que sua conta foi usada, revogue imediatamente o token de acesso pessoal (PAT) e altere sua senha.
- Rotacione todas as credenciais: Troque todas as chaves de API, tokens e senhas que possam ter sido expostas, incluindo as de serviços de nuvem, CI/CD e repositórios.
- Delete o workflow malicioso: Remova o arquivo de workflow de todos os branches e verifique se há forks infectados.
- Audite seus workflows regularmente: Revise os arquivos em
.github/workflowsem busca de código suspeito, especialmente aqueles que fazem requisições externas. - Use segredos com escopo mínimo: Configure segredos do GitHub Actions com o menor privilégio necessário e evite armazená-los em texto puro no código.
- Ative a autenticação de dois fatores (2FA): Proteja sua conta GitHub com 2FA para dificultar o acesso não autorizado.
- Monitore atividades suspeitas: Fique atento a pushes inesperados, workflows desconhecidos ou execuções de Actions que você não iniciou.
Conclusão: sua identidade digital está em jogo
O ataque GhostAction é um lembrete severo de que a segurança da cadeia de suprimentos de software é frágil. Desenvolvedores e usuários comuns precisam estar atentos a ameaças que exploram confiança e falta de vigilância. Se você teme que suas credenciais possam ter sido comprometidas, é essencial verificar se seus dados vazaram e monitorar sua identidade digital continuamente.
Na Kzarka, oferecemos monitoramento de vazamentos de dados e proteção contra roubo de identidade digital. Acesse nosso site para verificar se seus dados foram expostos e tomar medidas proativas para proteger sua vida digital.
Perguntas Frequentes (FAQ)
O que é a campanha GhostAction?
É uma campanha de roubo de credenciais que injeta workflows maliciosos no GitHub Actions para exfiltrar segredos de repositórios, comprometendo milhares de projetos.
Como posso saber se meu repositório foi afetado?
Verifique se há arquivos de workflow chamados "security-audit.yml" ou "githubactions_security.yml" em seus repositórios, especialmente se foram adicionados após 31 de agosto de 2026. Se encontrar, assuma comprometimento e siga as etapas de remediação.
O que devo fazer se minhas credenciais foram roubadas?
Revogue imediatamente o token de acesso pessoal, altere senhas, rotacione todas as chaves de API e tokens, delete o workflow malicioso e monitore atividades suspeitas.
Como o golpe do falso suporte técnico se relaciona a isso?
Ambos exploram a confiança do usuário: o GhostAction usa a confiança em workflows de CI/CD, enquanto o falso suporte técnico usa a confiança em empresas legítimas. Em ambos, a prevenção envolve vigilância e verificação de fontes.
Como a Kzarka pode me ajudar a proteger minha identidade digital?
A Kzarka monitora vazamentos de dados e alerta você se suas informações pessoais forem expostas, permitindo que você aja rapidamente para mitigar riscos de roubo de identidade.
Em Destaque (hoje)
Vulnerabilidade PHP2Shell: O Que Fazer Agora?
21/10/2026SIM Swap: Como Funciona o Golpe da Clonagem de Chip e Como se Proteger
21/10/2026