Una investigación de Truffle Security reveló que más de 543,000 credenciales válidas siguen expuestas en repositorios públicos de GitHub, algunas desde 2009. Aunque la herramienta *Push Protection* de GitHub ha reducido las filtraciones en categorías protegidas, muchos secretos (como claves de Google) siguen siendo vulnerables. Los expertos recomiendan rotar inmediatamente las credenciales expuestas y limpiar el historial de los repositorios.





Más de 543.000 credenciales expuestas en repositorios públicos de GitHub seguían siendo válidas en julio, a pesar de las medidas de seguridad de la plataforma para evitar filtraciones accidentales de datos sensibles.

Los datos obtenidos del escaneo de 224 millones de repositorios y más de 58.000 millones de archivos muestran que la mediana de tiempo que una credencial única permaneció accesible al público fue de 784 días.

La investigación fue realizada por Truffle Security, que descubrió que aproximadamente el 10% de las credenciales activas tenían más de 6,3 años y la más antigua databa de 2009.

En total, los investigadores identificaron 543.699 credenciales únicas que aparecieron repetidamente en más de 1,1 millones de archivos y repositorios, incluyendo copias en forks.

La evaluación se llevó a cabo sobre un conjunto de datos reunido para entrenar grandes modelos de lenguaje, basado en un rastreo que finalizó el 7 de agosto de 2025.

Truffle Security afirma que el número de credenciales expuestas en GitHub es más del doble de lo que encontró en agosto tras escanear Hugging Face, donde detectó 221.303 credenciales activas.

Los investigadores señalan que la densidad de secretos ha aumentado con el tiempo, pasando de 3,72 credenciales activas por millón de archivos en 2015 a un máximo de 11,62 en 2025.

Resumen de los hallazgos de truffle

Fuente: Truffle Security

Efecto de la protección de envío (push protection)

La salvaguarda de GitHub contra la filtración accidental de credenciales, Push Protection, se introdujo en abril de 2022 para los usuarios de Advanced Security y estuvo disponible para repositorios públicos en mayo de 2023. Un año después, GitHub la activó por defecto.

El mecanismo escanea el código entrante en busca de patrones secretos como claves API y tokens de acceso, y bloquea la carga si detecta alguno. Sin embargo, no revoca las credenciales expuestas previamente.

Truffle Security informa que 199.843 de las credenciales identificadas en julio fueron expuestas después de que GitHub activara Push Protection para todos los usuarios en febrero de 2024, lo que representa aproximadamente el 36,8% del total.

Poco más de la mitad (51,8%) de las credenciales activas entraban en categorías que la Push Protection predeterminada de GitHub no bloquea, incluyendo cadenas de conexión de bases de datos y claves de API de Google.

No obstante, Push Protection parece efectiva dentro de su cobertura: la tasa de credenciales expuestas en categorías protegidas cayó un 53% después de que la función se activara por defecto.

Exposición de secretos

Fuente: Truffle Security

Revocación de secretos expuestos

Analizando el conjunto de datos de manera más amplia, Truffle dice que algunos tipos de credenciales tienen muchas más probabilidades de ser revocadas que otras, dependiendo del servicio.

Por ejemplo, de 101.886 tokens de npm comprometidos, los investigadores encontraron que solo uno seguía funcionando. En contraste, de 126.963 credenciales de cuentas de servicio de Google Cloud expuestas, 69.041 seguían siendo válidas y activas en el momento del análisis.

La recomendación práctica para los afectados es rotar inmediatamente las credenciales expuestas, limpiar los repositorios, escanear el historial y establecer la expiración automática para todos los secretos activos.

Los hallazgos de seguridad de Truffle indican el nivel y la escala de la exposición de secretos activos en GitHub, pero no revelan qué porcentaje de esos secretos son realmente robados y utilizados maliciosamente por atacantes.

Fuente:
BleepingComputer