GitHub : 4 837 comptes piratés, 61 000 dépôts fouillés… les hackers font leurs courses dans le code
GitHub, c’est un peu le gigantesque atelier où les développeurs du monde entier rangent leurs programmes, leurs projets et parfois quelques secrets qu’ils auraient mieux fait de garder ailleurs. Une campagne de piratage baptisée wfx-loot aurait compromis 4 837 comptes et exploré plus de 61 000 dépôts de code. Objectif : dénicher des identifiants et des clés d’accès. Bref, les pirates ne viennent pas admirer les lignes de code. Ils cherchent les clés du coffre.
Imaginez un immense garage numérique où des millions de développeurs rangent leurs programmes informatiques. Chacun peut y travailler, conserver différentes versions de son projet et collaborer avec d’autres personnes. Ce garage s’appelle GitHub.
Du petit bricolage du dimanche aux logiciels qui font tourner des multinationales.
Certains sont publics, accessibles à tous. D’autres sont privés et réservés aux personnes autorisées.
Comment les pirates ont-ils procédé ?
La campagne wfx-loot aurait exploité des accès déjà compromis pour parcourir automatiquement des milliers de dépôts GitHub.
Les attaquants recherchent notamment des jetons d’authentification, des clés API, des identifiants de bases de données et des secrets permettant de communiquer avec des services cloud.
Le principe est simple : plutôt que de forcer la porte d’une entreprise, autant récupérer le badge oublié dans un fichier. Et avec des outils automatisés, les pirates peuvent inspecter des milliers de projets sans devoir lire chaque ligne de code. Le stagiaire chargé de vérifier les fichiers à la main peut retourner dormir.
Un identifiant oublié dans un dépôt GitHub peut parfois ouvrir bien d’autres portes. Voici quatre scénarios fictifs, mais techniquement possibles, pour comprendre les conséquences.
Une boutique en ligne laisse traîner une clé donnant accès à son infrastructure. Un pirate pourrait l’utiliser pour perturber le site, accéder à certaines informations ou détourner des ressources.
Une entreprise utilise des services cloud payants. Avec une clé suffisamment privilégiée, des attaquants pourraient lancer des machines virtuelles à ses frais, notamment pour miner des cryptomonnaies.
Un développeur conserve un identifiant de base de données dans son projet. Si celui-ci permet d’accéder à une base exposée, les pirates pourraient consulter ou voler des informations clients.
Une entreprise automatise la publication de ses applications. Un jeton compromis disposant des bonnes autorisations pourrait permettre à un attaquant de modifier du code ou de perturber les déploiements.
Faut-il paniquer si on utilise GitHub ?
Non. La découverte de milliers de dépôts explorés ne signifie pas que tous ont été modifiés ou que leurs données ont été volées.
Les développeurs doivent surtout vérifier leurs accès, révoquer les identifiants exposés, activer l’authentification multifacteur et limiter les permissions des jetons. GitHub propose également des mécanismes de détection des secrets présents dans le code.
Cette affaire rappelle une règle élémentaire : un mot de passe ou une clé API n’a rien à faire dans un dépôt de code. Parce que laisser ses identifiants dans un fichier accessible aux pirates, c’est un peu installer une serrure connectée à 300 euros et coller le code d’ouverture sur la porte.
Précision importante après vérification : les chercheurs ont identifié au moins 1 806 dépôts dans lesquels le programme malveillant s’est exécuté et a exfiltré des secrets. Les 61 764 dépôts correspondent à des tentatives d’accès, pas à autant de vols confirmés. L’attaque exploite des identifiants GitHub déjà compromis, et non une nouvelle faille de GitHub.
Les informations présentées dans cet article reposent sur des analyses de cybersécurité consacrées à la campagne wfx-loot, ainsi que sur la documentation officielle de GitHub concernant la protection des identifiants.
The wfx-ci secret stealer: how it works, how to check your repos, and how to make it fail next time
GitHub Actions secret stealer: compromised accounts and credential theft
About authentication to GitHub
Les bons plans du jour sur Amazon
Ninja Foodi FlexDrawer · 10,4 L Pierre
Friteuse à air à deux compartiments.
Dreame L50s Pro Ultra-A
Robot aspirateur laveur avec station.
Roborock F25 Steam Set
Aspirateur laveur sans fil à vapeur.
Prix relevés le 13/11/2026 à 08:00 (heure de Bruxelles), susceptibles de changer ; prix et disponibilité sur Amazon.fr au moment de l’achat faisant foi. Remises calculées sur la référence indiquée, arrondies à l’entier inférieur. Frais de livraison éventuels en supplément.
Liens affiliés : en tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.
