Tài khoản GitHub “ngủ yên” bị lợi dụng để lập bản đồ tổ chức doanh nghiệp
"Datadog Security Labs reported overlapping campaigns that use dormant GitHub accounts, compromised OAuth tokens, and exposed personal access tokens to enumerate corporate GitHub organizations, repositories, and users via the GitHub API. In some cases the activity progressed beyond reconnaissance to cloning a private repository, with the main impact being stealthy org mapping and potential unauthorized code access; no CVE was identified and the article does not describe a software fix."
Nguy cơ chủ yếu nằm ở lập bản đồ tổ chức và khả năng tiến tới truy cập mã nguồn trái phép nếu token/PAT bị lộ. Điểm đáng chú ý: tài khoản ghost lâu năm, tận dụng endpoint công khai, và chuyển từ reconnaissance sang clone kho riêng.
Tác động vận hành thường bắt đầu từ tăng bề mặt tấn công và rò rỉ thông tin về cấu trúc GitHub (thành viên, dự án, quan hệ). Trong kịch bản xấu, việc clone kho riêng có thể dẫn tới gián đoạn phát triển và rủi ro rò rỉ tài sản mã nguồn.
Datadog Security Labs cảnh báo về nhiều chiến dịch chồng lấn nhằm tự động liệt kê (enumerate) tổ chức, kho mã và người dùng trên GitHub của doanh nghiệp thông qua GitHub API. Theo phân tích, kẻ tấn công sử dụng tài khoản “ghost” đã tồn tại 2–5 năm nhưng bị bỏ không hoạt động, hoặc dùng OAuth token và Personal Access Token (PAT) bị lộ/ bị chiếm từ người dùng hợp lệ.
Phần lớn hoạt động tập trung vào dữ liệu công khai vì nhiều endpoint của GitHub có thể truy cập mà không cần xác thực. Tuy nhiên, trong một số trường hợp, kẻ tấn công đã chuyển từ trinh sát sang hành động xâm nhập thực tế, bao gồm clone một kho riêng thuộc một tổ chức. Kỹ thuật này giúp lưu lượng trông giống truy cập hợp lệ, giảm khả năng bị phát hiện so với việc tạo tài khoản mới rồi sử dụng ngay.
Các truy vấn được mô tả gồm: liệt kê repository công khai, duyệt danh sách followers/following, thống kê gists/stars/org membership, và chạy GraphQL trên đối tượng công khai. Khuyến nghị: rà soát rò rỉ PAT/OAuth token, áp dụng nguyên tắc least privilege, theo dõi bất thường theo cụm tài khoản và chặn/giới hạn truy cập API không cần thiết.