23 millones de secretos revelados en GitHub

AXCESS · Marzo 12, 2025, 11:07:46 PM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Aunque las filtraciones de datos están en aumento, los desarrolladores aún se niegan a ser cautelosos. Ya sea por descuidos en el frenesí de la programación o por pura negligencia, exponer credenciales de texto plano, como claves API, contraseñas y tokens de autenticación, crea importantes riesgos de seguridad.

La empresa de seguridad GitGuardian ha revelado que, a lo largo de 2024, los desarrolladores enviaron código a GitHub con más de 23 millones de nuevos secretos codificados. Codificar significa incrustar directamente información confidencial en el código; expertos en ciberseguridad han señalado esta práctica como insegura.

A pesar de los esfuerzos de GitHub por prevenir filtraciones de secretos en la fase de envío del código, la investigación actual muestra que ha habido un aumento del 25 % en las filtraciones con respecto al año pasado.

¿Qué secretos se filtran con más frecuencia?

Los llamados secretos genéricos son el grupo de secretos de mayor crecimiento que los desarrolladores no protegen, representando un sorprendente 58% de todos los secretos filtrados.

Los secretos filtrados incluyen:

Contraseñas codificadas integradas en el código fuente

Cadenas de conexión a bases de datos

Tokens de autenticación personalizados

Claves de cifrado almacenadas en texto plano

Esto es problemático, ya que los secretos genéricos incluyen contraseñas codificadas y credenciales de bases de datos, que son más difíciles de detectar y remediar debido a la falta de patrones estandarizados. Por ejemplo, estos secretos pueden eludir el análisis de secretos integrado de GitHub.

MongoDB, una base de datos documental de código abierto ampliamente utilizada, sigue siendo una fuente importante de credenciales filtradas este año, representando el 18,8% de los secretos detectados en repositorios públicos, en comparación con solo el 3,9% en los privados.

Los tokens de bots de Telegram representaron el 6,3 % de los secretos encontrados en repositorios públicos, pero fueron prácticamente inexistentes en repositorios privados. Esto coincide con el hecho de que la mayoría de las empresas no integran Telegram en sus flujos de trabajo.

Los 10 secretos más importantes en repositorios privados. Fuente: GitGuardian

Los 10 secretos más comunes en repositorios públicos. Fuente: GitGuardian

Los desarrolladores aún dependen de la privacidad de los repositorios para su protección.

Los investigadores descubrieron que los repositorios privados tienen ocho veces más probabilidades de contener secretos codificados. El 35 % de todos los repositorios privados analizados contenían al menos una credencial de texto plano.

Un repositorio privado en GitHub almacena código y archivos a los que solo pueden acceder personas con acceso autorizado, a diferencia de los repositorios públicos. Casi tres cuartas partes de todos los secretos filtrados en estos repositorios eran genéricos.

"Comparamos nuestros hallazgos del GitHub público con datos anónimos de clientes. Los datos muestran que los desarrolladores tratan los secretos en el código público de forma diferente que en el código privado", afirma el informe.

La tendencia sugiere que las organizaciones podrían estar recurriendo a la "seguridad por oscuridad", asumiendo que, dado que sus repositorios son privados, los secretos que contienen están seguros, afirman los investigadores.

En repositorios privados, el 24 % de todos los secretos genéricos encontrados eran contraseñas genéricas, frente al 9 % de todos los secretos genéricos encontrados en repositorios públicos.

Si bien la privacidad del repositorio crea una falsa sensación de seguridad, los atacantes que acceden a él pueden explotar fácilmente los secretos filtrados para ampliar su alcance y moverse lateralmente por los sistemas sin que nadie los detenga.

Aplicaciones iOS con filtraciones

La filtración de secretos es un problema generalizado que afecta a diversas plataformas y aplicaciones. Un nuevo estudio de Cybernews sobre aplicaciones iOS demuestra que nadie está a salvo de la exposición de secretos.

El equipo de investigación de Cybernews analizó más de 156.000 aplicaciones y reveló más de 815.000 secretos filtrados. Los resultados muestran que la mayoría de las aplicaciones de la App Store de Apple parecen filtrar al menos un secreto, incluyendo secretos de alta sensibilidad como claves de almacenamiento en la nube, diversas API e incluso procesadores de pagos.

Fuente:
CyberNews
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

23 millones de secretos revelados en GitHub

AXCESS

Marzo 12, 2025, 11:07:46 PM