Minacce · 79 giorni fa
Il problema non è una singola richiesta API, ma settimane di interrogazioni banali che costruiscono in silenzio una mappa completa di organizzazioni e membri senza far scattare gli alert basati sul singolo evento. GitHub, così, smette di essere solo un archivio di codice e diventa una layer di ricognizione che prepara clonazione di repository e ricerca di secret tra tenant diversi.
Datadog dice che la campagna dura da mesi e combina scanner automatici, credenziali rubate e reti coordinate di ghost account. Le richieste sfruttano una larga parte delle API pubbliche di GitHub, che rispondono normalmente anche senza autenticazione, e permettono di elencare organizzazioni, repository pubblici, membri, relazioni social e progetti seguiti o usati, prima di passare al cloning completo.
Per i team che gestiscono organizzazioni GitHub e controlli d’identità degli sviluppatori, il punto è il pattern a basso volume e lunga durata: l’inventario avviene prima dell’intrusione visibile. Chi monitora solo i picchi rischia di vedere il furto di codice o di secret quando la mappa è già stata costruita.
3 fonti che coprono questa storia
Ghost Accounts Abuse GitHub API in Mass Recon Campaign
Multiple campaigns are using ghost accounts to map GitHub organizations, including their repositories and members.
Dormant GitHub Accounts Help Attackers Blend In While Mapping Corporate Orgs
GitHub ghost accounts and exposed PATs scrape corporate orgs through the API, with select cases cloning private repos.
GitHub's public APIs are becoming an enterprise reconnaissance tool
Researchers have uncovered a sustained campaign using GitHub's public APIs and ghost accounts to profile enterprise software environments while blending into normal developer activity.
Part of the PlainSec briefing for 2026-07-12