GitHub GhostAction: Como proteger suas credenciais de dev

Você já parou para pensar que aquele projeto de código aberto que você mantém com tanto carinho pode ser a porta de entrada para um ataque cibernético? Pois é, a recente campanha GhostAction mostrou que até desenvolvedores experientes podem cair em armadilhas sofisticadas. Mais de 500 contas do GitHub foram comprometidas para roubar credenciais, e isso acende um alerta gigante para todos nós que vivemos no mundo digital.

Neste artigo, vou explicar o que aconteceu, como os criminosos agem e, principalmente, como você pode se proteger. E, claro, vou conectar com um cenário que muitos de nós enfrentamos: o uso de redes Wi-Fi públicas. Afinal, a segurança digital é um quebra-cabeça onde cada peça importa.

O ataque GhostAction: o que sabemos até agora

A campanha GhostAction, identificada inicialmente em setembro de 2025, voltou com força total. Desta vez, os invasores estão mirando desenvolvedores de projetos open source, usando suas próprias contas para distribuir workflows maliciosos do GitHub Actions. De acordo com a notícia da CyberSec Brazil, mais de 500 contas foram usadas para inserir arquivos como security-audit.yml e githubactionssecurity.yml, que parecem auditorias legítimas, mas na verdade coletam dados sensíveis.

Os criminosos comprometem contas de mantenedores — provavelmente usando tokens de acesso vazados — e então inserem esses workflows em dezenas de milhares de repositórios. O objetivo? Roubar credenciais de serviços em nuvem, tokens de CI/CD, chaves de API de IA e muito mais. É um ataque em larga escala que explora a confiança que temos nas automações do GitHub.

Como os invasores executam o ataque

A cadeia de ataque é engenhosa. Primeiro, eles obtêm acesso a uma conta de desenvolvedor, geralmente por meio de tokens de acesso pessoal (PATs) vazados em logs de infostealers ou bases de credenciais comprometidas. Depois, examinam os arquivos de automação do repositório para identificar possíveis segredos. Em seguida, inserem um workflow disfarçado de auditoria de segurança na branch principal, usando a identidade da própria vítima.

O arquivo malicioso pode ser executado manualmente (via workflowdispatch) ou automaticamente após um push. Durante a execução, ele usa fetch-depth: 0 para recuperar todo o histórico Git e então varre o projeto em busca de padrões de credenciais. Tudo que encontra é enviado para um servidor controlado pelos criminosos, via HTTP sem criptografia. Simples e devastador.

O impacto: mais de 2.500 segredos em jogo

Um levantamento da GitGuardian mostrou que, entre 31 de agosto e 30 de setembro de 2026, a campanha inseriu workflows maliciosos em 772 repositórios públicos, pertencentes a 373 usuários e organizações. Os arquivos foram configurados para buscar 2.577 tipos de segredos, incluindo chaves SSH privadas, credenciais de AWS, Azure, Google Cloud, Firebase, bancos de dados, FTP e registros de contêineres.

Além disso, a lista inclui tokens de bots do Telegram, Slack e Discord, e credenciais de Cloudflare, npm, PyPI e provedores de IA. Ou seja, se você usa qualquer um desses serviços, sua conta pode estar em risco se um repositório seu foi comprometido. E não para por aí: os criminosos também modificaram um repositório para incluir um minerador de criptomoedas, mostrando que o objetivo pode ir além do roubo de dados.

Essa tabela resume o escopo do ataque. Como você pode ver, não é apenas sobre código; é sobre toda a sua vida digital conectada a esses serviços.

Forks e repositórios privados: o perigo oculto

Um detalhe assustador: a Socket identificou que 279 forks associados a um namespace comprometido carregam o workflow malicioso. Isso significa que mesmo que você não tenha sido diretamente atacado, se você fez um fork de um repositório infectado, seu projeto pode estar executando o código malicioso automaticamente. E o pior: forks privados e espelhos podem conter credenciais que não estão no repositório público original.

Além disso, cada execução do workflow retorna um identificador do repositório, mesmo quando nenhuma credencial é encontrada. Isso permite que os operadores mapeiem ambientes onde o código consegue rodar, criando um mapa de alvos futuros. É uma operação de reconhecimento contínua.

O elo com redes Wi-Fi públicas: por que isso importa para você

Agora, você pode estar se perguntando: "Rafael, eu não sou desenvolvedor, isso me afeta?" A resposta é sim, e vou te mostrar como. Muitos de nós usamos redes Wi-Fi públicas em cafés, aeroportos ou hotéis. Nesses ambientes, seus dados podem ser interceptados se a conexão não for segura. E adivinhe? Os criminosos do GhostAction estão atrás exatamente de credenciais que podem ser capturadas em redes desprotegidas.

Imagine que você está em uma cafeteria, conectado ao Wi-Fi aberto, e acessa seu GitHub ou outro serviço. Se um invasor estiver na mesma rede, ele pode usar técnicas como man-in-the-middle para capturar seus tokens de sessão ou senhas. Esses dados podem então ser usados em ataques como o GhostAction, onde sua conta vira um vetor para infectar outras pessoas. É uma cadeia.

Por isso, a regra de ouro é: nunca acesse serviços sensíveis em redes Wi-Fi públicas sem uma VPN. E, claro, monitore seus dados regularmente para saber se algo vazou.

Passos práticos para se proteger do GhostAction e além

Vamos à ação. Aqui estão medidas que você pode tomar hoje para reduzir seu risco:

1. Revogue tokens comprometidos: Se você suspeita que sua conta do GitHub foi afetada, vá em Settings → Developer settings → Personal access tokens e revogue todos. Gere novos apenas quando necessário.
2. Audite seus workflows: Verifique seus repositórios em busca de arquivos security-audit.yml ou githubactionssecurity.yml. Se encontrar, remova imediatamente e investigue o histórico.
3. Ative a autenticação de dois fatores (2FA): Isso adiciona uma camada extra de segurança. Prefira métodos como app autenticador ou chave de segurança física.
4. Use segredos criptografados: No GitHub, utilize os Encrypted Secrets para armazenar tokens e chaves, em vez de hardcodá-los no código.
5. Monitore seus dados: Cadastre-se em serviços de monitoramento de vazamentos (como a Kzarka!) para saber se suas credenciais apareceram em bases expostas.
6. Cuidado com Wi-Fi público: Evite acessar contas sensíveis em redes abertas. Se precisar, use uma VPN confiável.

Essas ações são simples, mas fazem uma diferença enorme. Lembre-se: os criminosos contam com a nossa falta de atenção.

Perguntas frequentes sobre o GhostAction e segurança de credenciais

Para fechar, respondo algumas dúvidas comuns que recebo de leitores e alunos.

O que exatamente é um workflow do GitHub Actions?

É um conjunto de automações definidas em arquivos YAML dentro do repositório. Eles podem rodar testes, builds e deploys automaticamente. O problema é que, se um invasor inserir um workflow malicioso, ele pode executar código arbitrário com as permissões do repositório.

Como sei se meu repositório foi afetado pelo GhostAction?

Procure por arquivos com nomes como security-audit.yml ou githubactionssecurity.yml no seu repositório ou em forks. Verifique o histórico de commits para alterações suspeitas. Se encontrar algo, remova e revogue credenciais.

O que são tokens de acesso pessoal (PATs) e por que são visados?

PATs são como senhas que dão acesso à sua conta do GitHub via API ou linha de comando. Se vazarem, um invasor pode agir como você, sem precisar da sua senha. Por isso, eles são um alvo preferido.

Redes Wi-Fi públicas realmente representam um risco tão grande?

Sim. Em redes abertas, qualquer pessoa com ferramentas simples pode interceptar tráfego não criptografado. Mesmo com HTTPS, ataques como SSL stripping podem ocorrer. Use sempre VPN e evite logins sensíveis.

Como posso monitorar se minhas credenciais vazaram?

Você pode usar serviços de monitoramento de vazamentos, como a Kzarka, que verificam se seus e-mails ou senhas apareceram em bases expostas. É uma forma proativa de agir antes que os criminosos usem seus dados.

O que devo fazer se minhas credenciais foram comprometidas?

Aja rápido: mude as senhas de todos os serviços afetados, ative 2FA, revogue tokens e monitore atividades suspeitas. Considere também congelar crédito se dados financeiros estiverem envolvidos.

Espero que este artigo tenha te ajudado a entender a gravidade do ataque GhostAction e, mais importante, a se proteger. A segurança digital é uma jornada contínua, e cada passo conta. Se você quer saber se seus dados já vazaram ou monitorar sua identidade digital, visite a Kzarka e faça uma verificação gratuita. Fique seguro!