Si tu empresa o tu equipo de desarrollo usa GitHub, revisa tus repositorios hoy. Investigadores de StepSecurity y Socket reportaron una nueva ola de la campaña GhostAction, que usa cuentas robadas de programadores para robar contraseñas y claves de servicios en la nube.
¿Cómo funciona?
- El atacante consigue las credenciales de un desarrollador, muy probablemente un token personal (PAT) filtrado por un virus que roba datos del navegador.
- Con esa cuenta, agrega a sus repositorios un flujo de GitHub Actions con un nombre que parece inofensivo: “Security Audit” (
security-audit.yml) o “GitHub Actions Security” (github_actions_security.yml). - El flujo se ejecuta y envía a un servidor del atacante los secretos de GitHub Actions y, en esta nueva versión, también busca claves escritas en el código y en todo el historial de git: AWS, OpenAI, Anthropic, OpenRouter, tokens de GitHub y GitLab, entre otras.
Lo nuevo: antes solo robaba los secretos guardados en GitHub. Ahora también revisa el historial completo, así que una clave que “borraste” de un commit viejo sigue expuesta si nunca la cambiaste.
¿Qué tan grande es?
- El 8 de octubre, el atacante usó dos cuentas conocidas: la del autor de pyxel (un motor de videojuegos con más de 18,000 estrellas), en 27 repositorios, y la del autor original de athenadriver de Uber, en 318 repositorios en solo 16 minutos, según StepSecurity.
- Socket actualizó su reporte: identificó más de 500 cuentas de GitHub que subieron el flujo malicioso a decenas de miles de repositorios desde el 7 de octubre.
- Al 9 de octubre, Socket no había visto versiones maliciosas publicadas en PyPI o crates.io con las claves robadas, pero advierte que eso no significa que las claves estén seguras.
¿Qué significa para México?
Muchas PyMEs y desarrolladores en México tienen su página, su sistema de facturación o su integración con el SAT en GitHub, con claves de nube, de pasarelas de pago o de servicios de IA. Esto es lo que conviene hacer:
- Busca en tus repositorios archivos
security-audit.ymlogithub_actions_security.ymlen.github/workflows/que no hayas creado tú. - Revisa en la pestaña Actions si se ejecutaron flujos desconocidos desde el 7 de octubre.
- Si encuentras algo, cambia (rota) todas las claves: secretos de Actions, llaves de AWS u otras nubes, API keys de IA y tokens de GitHub.
- Revoca los tokens personales que no uses y activa la verificación en dos pasos en GitHub.
- Nunca subas claves al código: usa variables de entorno o un gestor de secretos.
¿Tu sistema o tu sitio web están en GitHub y no sabes si estás expuesto? En IOSoluciones te ayudamos a revisarlo: Soporte Técnico o Contacto.
¿Necesitas ayuda para revisar o actualizar los equipos de tu negocio? En IOSoluciones te apoyamos con Soporte Técnico y Mantenimiento. Contáctanos.
Fuentes: Socket, StepSecurity y The Hacker News (09/10/2026), consultadas el 09/10/2026.