Según un informe publicado por GitGuardian, usuarios de GitHub expusieron accidentalmente más de 12,8 millones de secretos confidenciales y de autenticación en más de 3 millones de repositorios públicos durante el año 2023. La gran mayoría de estos datos sigue siendo válida incluso después de cinco días, momento en el cual GitGuardian deja de monitorear su estado.
Alertas y respuesta limitada
La empresa envió más de 1,8 millones de alertas gratuitas a quienes expusieron secretos. Sin embargo, solo un pequeño porcentaje, aproximadamente el 1,8%, tomó medidas rápidas para corregir el error.
Tipo de datos expuestos
Los secretos incluyen contraseñas de cuentas, claves API, certificados TLS/SSL, claves de cifrado, credenciales de servicios en la nube, tokens OAuth y otros datos confidenciales. Estos pueden permitir a actores externos acceder ilimitadamente a recursos y servicios privados, lo que podría provocar filtraciones de datos y daños financieros.
Impacto en ataques cibernéticos
Un informe de Sophos de 2023 destacó que las credenciales comprometidas representaron el 50% de la causa raíz de todos los ataques registrados en la primera mitad del año, seguido de la explotación de vulnerabilidades, que fue el método de ataque en el 23% de los casos.
Tipos específicos de secretos expuestos
Los detectores específicos identificaron una exposición masiva de la API de Google y las claves de Google Cloud, las credenciales de MongoDB, los tokens de bot de OpenWeatherMap y Telegram, las credenciales de MySQL y PostgreSQL y las claves de GitHub OAuth.
Revolución en el tiempo de revocación
El 2,6% de los secretos expuestos se revocan en la primera hora. Sin embargo, un enorme 91,6% sigue siendo válido incluso después de cinco días.
Mejores mecanismos de respuesta
Riot Games, GitHub, OpenAI y AWS parecen tener los mejores mecanismos de respuesta para ayudar a detectar confirmaciones incorrectas y remediar la situación. El mes pasado, GitHub habilitó la protección push de forma predeterminada para evitar la exposición accidental de secretos al enviar código nuevo a la plataforma.