543 699 działających poświadczeń w publicznych repozytoriach GitHub

Truffle Security znalazła w publicznych repozytoriach GitHub 543 699 unikalnych poświadczeń, które w lipcu nadal działały. Mediana czasu, przez jaki takie dane pozostawały publicznie dostępne, wynosi 784 dni. Badacze przeskanowali 224 mln repozytoriów i ponad 58 mld plików ze zbioru przygotowanego do trenowania dużych modeli językowych. Około 10% działających poświadczeń miało ponad 6,3 roku, a najstarsze pochodziło z 2009 roku. Gęstość sekretów wzrosła z 3,72 na milion plików w 2015 roku do 11,62 w 2025 roku.

Kogo dotyczy

Właścicieli publicznych repozytoriów GitHub, do których trafiły poświadczenia, także w kopiach w forkach. Te same dane powtarzały się w ponad 1,1 mln plików i repozytoriów. Mechanizm Push Protection, domyślnie włączony dla wszystkich użytkowników od lutego 2024 roku, blokuje wysyłkę kodu z wykrytym sekretem, ale nie unieważnia poświadczeń ujawnionych wcześniej. Już po jego włączeniu wyciekło 199 843 poświadczenia, czyli około 36,8% całości.