GitGuardian’ın son incelemesine göre GhostAction adlı kampanya, 8 ve 9 Ekim 2026 tarihlerinde yaklaşık 1.900 GitHub hesabının ele geçirilmesiyle büyüdü ve 30 binden fazla depoyu hedef aldı. Saldırı, açık kaynak depolarındaki CI süreçlerinden gizli bilgileri çekmeye dönük bir girişim olarak yürütüldü.
Araştırmacılar, kampanyanın public repository’lerde çalışan sürekli entegrasyon iş akışlarını istismar etmeye odaklandığını belirtti. Ele geçirilen hesaplar üzerinden 3.174 ayrı secret çıkarılmaya çalışıldı. Bu tür gizli bilgiler genellikle erişim anahtarları, token’lar, bağlantı dizgileri ve otomasyon kimlik bilgilerini içeriyor; saldırganlar bunları daha geniş kurumsal yapılara sızmak için kullanabiliyor.
GhostAction, GitHub ekosistemindeki meşru otomasyon mekanizmalarını hedef aldı. CI sistemleri yazılım ekiplerinin kodu test edip dağıtmasını sağlarken, aynı kanallar yanlış yapılandırıldığında ya da hesaplar ele geçirildiğinde saldırganlara hassas verilere ulaşma fırsatı verebiliyor.
Yayımlanan analizde kampanyanın ölçeği, kısa sürede çok sayıda hesaba erişim sağlanmasıyla bağlantılı olarak tanımlandı. 1.900 kullanıcı hesabının kompromize edilmesi, saldırının tekil bir olaya değil, yaygın ve organize bir operasyona işaret ettiğini gösterdi. Hedeflenen depo sayısının 30 bini aşması da girişimin rastgele değil, geniş yüzeyli bir av şeklinde ilerlediğini ortaya koydu.
GitGuardian’ın bulguları, saldırganların public kod depolarındaki otomasyon zincirlerini veri avı için nasıl kullandığını yeniden gündeme taşıdı. Kampanya, doğrudan kaynak koda değil, o kodu işleyen CI katmanına yüklenerek gizli bilgileri çekmeye çalıştı.