GitHub diventa una mappa di ricognizione per gli attaccanti
Il problema non è una singola richiesta API, ma settimane di interrogazioni banali che costruiscono in silenzio una mappa completa di organizzazioni e membri senza far scattare gli alert basati sul singolo evento. GitHub, così, smette di essere solo un archivio di codice e diventa una layer di ricognizione che prepara clonazione di repository e ricerca di secret tra tenant diversi.
Datadog dice che la campagna dura da mesi e combina scanner automatici, credenziali rubate e reti coordinate di ghost account. Le richieste sfruttano una larga parte delle API pubbliche di GitHub, che rispondono normalmente anche senza autenticazione, e permettono di elencare organizzazioni, repository pubblici, membri, relazioni social e progetti seguiti o usati, prima di passare al cloning completo.
Per i team che gestiscono organizzazioni GitHub e controlli d’identità degli sviluppatori, il punto è il pattern a basso volume e lunga durata: l’inventario avviene prima dell’intrusione visibile. Chi monitora solo i picchi rischia di vedere il furto di codice o di secret quando la mappa è già stata costruita.