Cuentas fantasma y tokens expuestos: el silencioso mapeo masivo que aprovecha la API de GitHub

Datadog Security Labs ha identificado campañas coordinadas que están utilizando la API de GitHub para mapear organizaciones, repositorios y cuentas de usuarios con fines de reconocimiento masivo. Aunque gran parte de la actividad se aprovecha de endpoints públicos, los atacantes han combinado herramientas automatizadas, cuentas antiguas aparentemente inactivas —que llamaré cuentas fantasma— y tokens legítimos comprometidos para llevar la investigación más allá de lo que normalmente se esperaría de escrapeo casual.

La táctica principal es deliberadamente simple y efectiva: usar cuentas creadas hace años y sin actividad continuada para emitir peticiones de API que no despiertan sospecha inmediata. Al operar con agentes de usuario creíbles y tokens expuestos, el tráfico se mezcla con el uso legítimo. Entre las consultas recurrentes figuran el listado de repositorios públicos de una organización, la exploración de seguidores y seguidos de usuarios, la enumeración de gists y estrellas, y el envío de consultas GraphQL para extraer metadatos. En algunos incidentes reportados se llegó a clonar repositorios privados tras encontrar credenciales con permisos suficientes.

Esto plantea un doble problema: por un lado, la gran superficie pública de la API de GitHub facilita el reconocimiento automatizado; por otro, la utilización de cuentas antiguas y tokens legítimos dificulta la detección basada en firmas simples o en el rechazo automático de cuentas nuevas. El riesgo real es la acumulación de datos: cientos o miles de peticiones que, en conjunto, permiten a un atacante mapear estructuras internas de proyectos, relaciones entre contribuyentes y posibles vectores para ataques posteriores.

Las implicaciones son amplias. Más allá de la exposición directa de código o propiedad intelectual, la información agregada puede facilitar ataques de ingeniería social dirigidos, comprometer la cadena de suministro al identificar repositorios con dependencias críticas, o permitir movimientos laterales si se descubren credenciales con permisos inadecuados. Incluso si la mayoría de peticiones consumen datos públicos, el paso a la clonación de repositorios privados demuestra que un pequeño número de credenciales filtradas puede escalar el impacto.

Detectar este tipo de campañas exige enfoques centrados en el comportamiento agregado en lugar de en señales aisladas. Señales de alerta incluyen múltiples cuentas que realizan consultas similares y sincronizadas contra varias organizaciones, patrones de paginación intensiva, uso repetitivo de determinados user-agents aparentemente legítimos, y picos simultáneos de clones o descargas. Revisar los registros de auditoría y correlacionarlos con fuentes externas es clave para identificar este comportamiento antes de que derive en exfiltración.

En términos prácticos, las organizaciones pueden y deben tomar medidas concretas para reducir la superficie de exposición. Entre las acciones más eficaces están habilitar la autenticación multifactor y SAML/SSO obligatorios para miembros de la organización, imponer políticas de expiración y rotación de tokens, aplicar el principio de menor privilegio mediante tokens de ámbito restringido (fine-grained PATs) y revocar accesos innecesarios o cuentas inactivas. Además, es recomendable activar el escaneo de secretos y la protección de ramas, y limitar el acceso de aplicaciones OAuth de terceros mediante revisiones periódicas.

Desde la perspectiva de monitoreo, las empresas deben integrar los logs de GitHub con su SIEM, establecer alertas por patrones de enumeración masiva y por clones de repositorios sensibles, y evaluar la adopción de herramientas que detecten sincronización inusual entre múltiples cuentas. También conviene auditar periódicamente las listas de miembros y colaboradores externos, y utilizar repositorios cebos controlados para medir actividad sospechosa sin exponer activos reales.

Para desarrolladores y equipos técnicos, las recomendaciones concretas pasan por no almacenar tokens en repositorios ni en historiales, usar variables de entorno y gestores de secretos, preferir métodos de autenticación con caducidad y revocación sencilla, y configurar permisos mínimos para GitHub Actions y para cada workflow. Revisar integraciones y aplicaciones autorizadas y limitar webhooks públicos reduce vectores de explotación.

Este tipo de amenazas recuerda que la seguridad en plataformas colaborativas exige tanto controles técnicos como gobernanza continua: políticas claras de acceso, revisiones periódicas y telemetría que permita ver patrones agregados. Para profundizar en buenas prácticas de seguridad en GitHub y en cómo gestionar tokens y autenticación consulten la documentación oficial de GitHub en https://docs.github.com/en/authentication/keeping-your-account-and-data-secure y los análisis de amenazas y publicaciones de Datadog Security Labs en https://www.datadoghq.com/blog/category/security/, que ofrecen contexto adicional y ejemplos técnicos.