Usuarios de GitHub, víctimas de un rescate por contraseñas en texto plano
... un tercero accedió a su repositorio utilizando el nombre de usuario y la contraseña correctos de uno de los usuarios con permiso para acceder a su repositorio. Creemos que estas credenciales pueden haberse filtrado a través de otro servicio, ya que otros servicios de alojamiento de git están experimentando un ataque similar.
Como usuario de un servicio web, nunca es una buena experiencia recibir un correo electrónico así sobre una posible brecha en sus datos personales. Ahora, imagine que los datos son un repositorio de código que representa su arduo trabajo, o incluso los secretos comerciales de su software. Al menos 392 (hasta ahora) usuarios de GitHub, Bitbucket y GitLab recibieron esa angustiosa notificación esta semana, y lo que es más: los atacantes descargaron su código, lo borraron del repositorio y lo retuvieron para pedir un rescate. Una vez que todos los archivos de los usuarios afectados desaparecen, solo queda un archivo de texto con este mensaje:
A diferencia de la mayoría de las otras brechas empresariales que son noticia (e incluso ataques anteriores a GitHub), este no fue causado por un error en su plataforma. Más bien, la información de la cuenta se almacenó de forma insegura en texto plano y probablemente se filtró desde servicios de gestión de repositorios de terceros. Los desarrolladores almacenaban activamente contraseñas importantes de forma incorrecta y, a menudo, reutilizaban las mismas credenciales para varias cuentas de alto valor.
Parece que los estafadores no son los más brillantes del mundo de la programación, ya que (en el momento de escribir este artículo) ni un solo usuario ha pagado el rescate para recuperar su código, y algunas personas inteligentes y preocupadas por la seguridad ya han encontrado soluciones para que los usuarios afectados recuperen el código eliminado.
Aun así, esto pone de relieve problemas que conocemos desde hace mucho tiempo en el sector de la seguridad: la mayoría de los desarrolladores simplemente no tienen la suficiente conciencia sobre seguridad y los datos valiosos podrían estar en riesgo en cualquier momento... incluso por parte de quienes no son genios de la piratería informática.
¿Por qué nuestra gestión de contraseñas sigue siendo tan deficiente?
Los humanos somos, por supuesto, imperfectos y tendemos a querer facilitarnos la vida. Sin duda, es mucho menos molesto reutilizar el mismo nombre de usuario y contraseña una y otra vez, y recordar el nombre de tu primer cachorro es mucho más fácil que escribir "Z7b3#!q0HwXxv29!" solo para acceder a tu correo electrónico. Sin embargo, con tantos ciberataques a gran escala ocurriendo constantemente, los desarrolladores ya deberían saberlo mejor.
El propio consejo de GitHub sobre el asunto fue directo: evaluó que este ataque de rescate no habría tenido lugar si se hubiera implementado la autenticación de dos factores y se hubieran utilizado gestores de contraseñas seguros. Esto es absolutamente cierto, pero como sigo diciendo, está claro que la educación debe ir más allá. Todos los desarrolladores deben entender, a un nivel fundamental, por qué ciertas acciones podrían dejar sus cuentas vulnerables a ataques.
¿La educación: la píldora mágica?
Los programadores expertos en seguridad entienden que una simple configuración de seguridad incorrecta puede tener consecuencias devastadoras y, en el caso de este ataque a GitHub, parece que los archivos mal configurados fueron fundamentales para permitir que los atacantes inyectaran con éxito skimmers maliciosos para buscar las llaves de sus castillos.
La exposición de datos confidenciales también es una vulnerabilidad crítica que hay que superar, y sigue ocupando el tercer lugar en el Top 10 de OWASP. Almacenar contraseñas en texto plano es una prueba clara de que muchos no entienden los peligros de hacerlo y la facilidad con la que se pueden vulnerar los sistemas mediante ataques de fuerza bruta a las contraseñas.
Comprender la criptografía (y, en particular, el almacenamiento criptográfico) es un componente esencial para gestionar contraseñas en una base de código utilizando una seguridad blindada. Salar y aplicar hash con éxito a cualquier contraseña almacenada, forzando su singularidad, hará que sea mucho más difícil que ocurran situaciones como este incidente de rescate.
Es importante entender que nuestras actitudes colectivas hacia la seguridad deben cambiar, poniendo más énfasis en una educación adecuada para los desarrolladores y tomando en serio el riesgo de las ciberamenazas. Necesitamos hacer que aprender sobre seguridad sea una experiencia positiva y gratificante, y creo que eso será fundamental para una mejora general de los estándares para cada desarrollador que autoevalúe su trabajo.
¿Quieres intentar derrotar las vulnerabilidades sobre las que has leído aquí? Puedes jugar desafíos relacionados en Secure Code Warrior ahora mismo:
Controle el desarrollo impulsado por IA antes de su lanzamiento
Mida el riesgo asistido por IA, aplique políticas de codificación segura en el momento de la confirmación y acelere la entrega segura en todo su ciclo de vida de desarrollo de software (SDLC).
Explorar más blogs
Acceda a contenido especializado sobre programación segura, gobernanza de IA y gestión de riesgos de software.
Una cultura de seguridad: cómo Sage creó su programa de defensores
Descubre cómo Sage reforzó su seguridad con un enfoque flexible y centrado en las relaciones, logrando formar a más de 200 expertos en seguridad y alcanzar una reducción de riesgos cuantificable.
Kamer van Koophandel: Seguridad a escala impulsada por los desarrolladores
La Cámara de Comercio (Kamer van Koophandel) comparte cómo integró la programación segura en el desarrollo diario mediante certificaciones basadas en roles, evaluaciones comparativas de puntuación de confianza y una cultura de responsabilidad compartida en seguridad.
Cómo un «Juego de Códigos» guía a IAG Group hacia un futuro de programación más seguro
IAG Group es la entidad detrás de muchas de las principales compañías de seguros en la región de Asia-Pacífico, que suscribe pólizas para millones de clientes por un valor aproximado de 11.400 millones de dólares australianos en primas anuales.
Mes de la Concienciación sobre Ciberseguridad 2026: Comprender la seguridad de la IA es fundamental para la defensa empresarial
Hemos llegado a un punto en el que la mayoría de las principales empresas de IA han pedido públicamente una ralentización global en el desarrollo de la IA para que las medidas de seguridad puedan ponerse al día, pero la verdad es que ya se han materializado graves problemas de seguridad. Esto deja a innumerables líderes de seguridad y equipos ejecutivos en una situación urgente, a medida que los costes monetarios y de riesgo de la implementación de la IA siguen acumulándose.
Habilitador 8: Branding de su programa
Un programa de codificación segura necesita algo más que un buen contenido para tener éxito. El Habilitador 8 muestra cómo el branding transforma la participación en una experiencia codiciada basada en el estatus.
.avif)
Cada empleado está ahora en la primera línea de la ciberseguridad de la IA
El panorama tecnológico empresarial está cambiando a una velocidad que pocos previeron hasta que fue demasiado tarde. Hemos cruzado oficialmente el umbral del código escrito por humanos y la asistencia básica de copilotos hacia la era del Ciclo de Vida de Desarrollo Agéntico (ADLC). Si bien los agentes de IA autónomos prometen una eficiencia sin precedentes en múltiples funciones, también traen consigo una clase completamente nueva de riesgos regulatorios y de seguridad.
Proteja el desarrollo basado en IA antes de su lanzamiento
Identifique riesgos de desarrollo, aplique políticas y prevenga vulnerabilidades en todo el ciclo de vida de su software.
