Des attaquants détournent 4 837 comptes GitHub pour voler des secrets de développement

Ce qui est nouveau

Depuis le 10 novembre 2026, un attaquant utilise des identifiants GitHub volés pour déployer un programme de vol de secrets dans des chaînes d’intégration continue (CI). Aikido Security, qui baptise la campagne wfx-loot, recense 4 837 comptes compromis ayant ouvert des demandes de modification dans 61 764 dépôts pour tester leurs droits d’écriture.

Ces tests ne correspondent pas tous à une exécution du programme malveillant. Le bilan présenté par Aikido fait état d’au moins 1 835 dépôts ayant exécuté le programme et subi une exfiltration d’identifiants. De son côté, SafeDep dénombre 8 093 dépôts publics ayant reçu des modifications malveillantes, sans que ce chiffre prouve leur exécution. Ces périmètres distincts décrivent la même campagne.

Ce qui change et pourquoi

L’opération ne repose pas sur une faille de GitHub Actions, souligne StepSecurity, mais sur des jetons valides de développeurs et de comptes automatisés. L’attaquant commence par une demande intitulée « docs: dependency audit notes », depuis une branche nommée wfx-docs. Il injecte ensuite le voleur dans un workflow GitHub Actions, un script exécuté par la CI ou un mécanisme lancé après une installation npm.

Le programme collecte notamment les secrets accessibles aux workflows, les jetons GitHub, les identifiants cloud et des clés de services d’intelligence artificielle. L’attaquant annule ensuite les modifications et supprime les exécutions et leurs journaux pour masquer son passage. StepSecurity observe aussi un passage à Telegram pour l’exfiltration, ce qui limite l’efficacité d’un blocage des seules adresses de collecte déjà identifiées.

L’origine du vol des identifiants reste inconnue. StepSecurity a identifié certains jetons émis pour l’application GitHub de Fly.io, mais précise ne disposer d’aucune preuve d’une intrusion dans l’infrastructure de Fly.io.

Pourquoi c'est important

La portée dépasse les seuls dépôts : le programme peut exploiter les droits cloud accessibles depuis la CI et tenter d’établir des accès persistants dans AWS et Azure. Ces capacités peuvent, lorsque les permissions le permettent, maintenir un accès après une rotation des secrets.

Le mécanisme npm peut aussi exécuter le voleur sur le poste d’un développeur. Enfin, le décompte de SafeDep ne couvre que les branches par défaut des dépôts publics : il ne constitue donc pas un bilan exhaustif de la campagne.