En bref
Que s'est-il passé ?
Le 5 septembre 2025, GitGuardian dévoile GhostAction, une campagne de supply chain ayant compromis 327 comptes GitHub sur 817 dépôts.
Les comptes compromis poussent des workflows malveillants déguisés en amélioration de sécurité (« Add Github Actions Security workflow »). Sans dépendance et en syntaxe standard, le workflow exfiltre les secrets par un curl POST à chaque push ou déclenchement manuel.
3 325 secrets exfiltrés (jetons PyPI, npm, DockerHub) vers un endpoint attaquant, l'une des plus grandes attaques GitHub Actions coordonnées, avec un risque persistant pluri-écosystèmes.
Revue obligatoire des modifications de workflow (un ajout de workflow doit alerter), permissions minimales des jetons CI, détection d'egress anormal, et rotation des secrets exposés.
Chronologie de l'attaque
GitGuardian révèle la campagne : 327 comptes et 817 dépôts compromis, 3 325 secrets exfiltrés via des workflows malveillants.
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Épingler les actions par SHA (jamais par tag mutable) ; jetons CI scopés et courts ; allowlist d'actions.
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 19 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :