Šta se desilo

Truffle Security je 29. septembra 2026. objavio istraživanje skupa The Stack v3: snimka više od 224 miliona javnih GitHub repozitorijuma i 58 milijardi zapisa o fajlovima, prikupljenog do 7. avgusta 2025. Autori su 27. i 28. jula 2026. potvrdili validnost 543.699 jedinstvenih kredencijala sa upotrebljivim datumom. To nije provera njihovog današnjeg statusa.

Koga pogađa

Razvojne i DevOps timove i organizacije čiji su pristupni podaci dospeli u javni kod. Posledice zavise od ovlašćenja konkretnog ključa ili tokena i dostupnosti povezanog servisa. Samo korišćenje GitHub-a ne znači da je organizacija pogođena.

Kako se zaštititi

  • Odmah opozovite ili rotirajte izložene kredencijale kod njihovog izdavaoca i ažurirajte servise koji ih koriste. Proverite da stari kredencijali više ne važe.
  • Pregledajte bezbednosne logove povezanih servisa radi tragova neovlašćenog pristupa. GitHub preporučuje da se objavljena tajna smatra kompromitovanom.
  • Proverite podešavanja Secret Scanning i Push Protection i obradite upozorenja. Zaštita pre slanja koda pokriva podržane obrasce, a ne svaku tajnu.
  • Pregledajte i istoriju repozitorijuma. Brisanje tajne iz trenutnog fajla nije zamena za opoziv; kopije mogu ostati u istoriji, klonovima i fork-ovima. Čišćenje istorije planirajte sa saradnicima.

Tehnički detalji

Skup obuhvata podrazumevane grane, bez istorije izmena. Medijana procenjene starosti izloženosti je 784 dana, računata prema poslednjoj izmeni fajla, a ne pouzdano utvrđenom trenutku curenja. Ukupno 1.103.438 pojavljivanja nije broj žrtava. Autori procenjuju da 51,8% validnih kredencijala pripada obrascima izvan podrazumevane Push Protection zaštite. Istraživanje ne utvrđuje broj uspešnih napada.

GitHub je 29. februara 2024. najavio postepeno podrazumevano uključivanje zaštite za besplatne korisničke naloge pri slanju u javne repozitorijume. Blokada može da se zaobiđe; njeno postojanje ne garantuje da tajne neće biti objavljene.

Zašto je važno

Za timove u Srbiji i regionu praktičan zadatak je da utvrde gde čuvaju tajne i ko je odgovoran za njihov opoziv. Nema osnova da se iz ovog nalaza izvodi poseban broj lokalnih žrtava ili tvrdnja da su lokalne kompanije manje zaštićene.

Preporuka Sajber Radara

Proverite sopstvene repozitorijume i prvo sanirajte izložene kredencijale koji omogućavaju pristup produkciji ili osetljivim podacima. Uvedite jasan postupak za opoziv, zamenu i proveru starih ključeva. Tajne čuvajte u namenskom sistemu za upravljanje tajnama; koristite minimalna potrebna ovlašćenja i kratkotrajne kredencijale gde ih servis podržava.